llm-audit: TypeScript 및 JavaScript LLM 애플리케이션을 위한 정적 분석 도구

섹션별 상세

기존 정적 분석 도구인 Semgrep의 AI 규칙 팩이 JavaScript 및 TypeScript 환경을 충분히 지원하지 못하는 공백을 메우기 위해 설계되었습니다. Semgrep의 공식 팩은 Python 규칙에 치중되어 있어 Vercel AI SDK나 Next.js 기반의 LLM 앱에서 발생하는 취약점을 잡아내지 못하는 문제가 있었습니다. llm-audit은 이러한 TS/JS 생태계의 특화된 라이브러리와 패턴을 분석하여 보안 결함을 찾아냅니다.

근거

Semgrep의 공식 AI 베스트 프랙티스 팩은 JavaScript나 TypeScript 규칙을 전혀 포함하지 않습니다. — Why 섹션의 'zero JavaScript or TypeScript rules' 언급

OWASP LLM Top 10 항목을 기반으로 실무에서 빈번하게 발생하는 5가지 핵심 보안 규칙을 제공합니다. 사용자 입력이 시스템 역할에 직접 삽입되는 프롬프트 주입(LLM01), 모델 출력을 스키마 검증 없이 JSON.parse로 처리하는 위험(LLM02), 하드코딩된 API 키(LLM06) 등을 탐지합니다. 각 규칙은 취약한 코드 예시와 안전한 코드 예시를 포함한 테스트를 통과하여 신뢰성을 확보했습니다.

근거

llm-audit은 JSON.parse를 스키마 검증 없이 사용하는 패턴을 LLM02 취약점으로 탐지합니다. — Rules in v0 표의 model-output-parsed-without-schema 항목

AI 코딩 어시스턴트와의 통합을 최우선으로 고려하여 설계되었으며 Claude Code, Cursor 등에서 직접 호출할 수 있는 스킬 형식을 지원합니다. npx llm-audit init --skill 명령을 통해 프로젝트에 스킬 파일을 추가하면, AI 에이전트가 LLM 관련 코드를 수정할 때 자동으로 검사를 수행하고 발견된 이슈를 수정하도록 유도합니다. 이는 AI가 생성한 코드에서 발생할 수 있는 보안 실수를 즉각적으로 교정하는 데 효과적입니다.

로컬 개발 환경과 CI/CD 파이프라인 모두에 쉽게 도입할 수 있도록 CLI 도구와 워크플로 템플릿을 제공합니다. husky를 이용한 pre-commit 훅 설정을 통해 보안 결함이 있는 코드가 커밋되는 것을 방지하며, GitHub Action을 통해 PR 단계에서 자동 검사를 수행할 수 있습니다. 결과물은 사람이 읽기 좋은 형태뿐만 아니라 JSON 및 SARIF 2.1.0 표준 포맷으로도 출력되어 외부 대시보드와 연동이 용이합니다.

기술

TypeScript
JavaScript
Semgrep
Vercel AI SDK
OpenAI SDK
Anthropic SDK
Husky

활용 사례

CI/CD 파이프라인 내 LLM 보안 취약점 자동 검사
AI 코딩 에이전트(Claude Code 등)의 보안 가이드라인 강제
로컬 커밋 전 프롬프트 주입 취약점 방지

언급된 리소스

GitHubllm-audit GitHub Repository

문서OWASP Top 10 for LLM Applications