데빈, 미토스 심층 검사 도입…취약점 수정은 검토용 PR로

코그니션이 10월 26일 클로드 미토스 등 사이버보안 모델로 심층 검사하는 데빈 시큐리티 2.0을 출시했다. 기업팀은 별도 모델 권한 없이 데빈으로 검사하고, 운영 환경의 위험을 따져 수정안을 검토하게 된다.

회사는 기업의 취약점 발견·수정에 쓸 수억달러 규모의 데빈 크레딧도 지원한다고 밝혔다. 기존 고객과 신규 기업 고객에게 무료 심층 검사를 제공하고, 신규 고객은 치명적인 문제를 고치는 크레딧도 받을 수 있다. 고객별 지원액과 별도 서비스 가격은 발표문에 제시하지 않았다.

검사의 기준은 보안·개발팀과 함께 만드는 위협 모델이다. 서비스와 서버, 네트워크 정책, 데이터 흐름과 배포 방식을 기록한다. 담당자는 코드에서 보이지 않는 운영 맥락을 보완한다. 같은 결함이라도 누가 접근할 수 있고 어떤 피해를 낼 수 있는지에 따라 대응 순서를 정한다.

대규모 코드 검사는 여러 AI 작업으로 나눠 진행한다. 데빈은 해당 저장소에서 조사할 코드를 고르는 규칙을 만들고, 전체 소스에 그 규칙을 적용해 후보를 추린다. 후보를 작은 묶음으로 나눠 병렬로 조사한 뒤 중복 결과와 서로 이어지는 공격 경로를 합친다. 이 실행 방식은 회사가 7월 1일 공개한 기존 기반을 사용한다.

기존 기술 설명은 검사 범위가 후보를 고르는 규칙에 달려 있다고 명시한다. 어떤 규칙에도 잡히지 않은 파일은 상세 조사로 넘어가지 않는다. 따라서 작업 목록을 모두 처리했다는 사실과 모든 취약점을 찾아냈다는 주장은 범위가 다르다. 같은 저장소를 다시 검사할 때는 앞서 검사한 커밋 이후 바뀐 파일을 대상으로 실행한다고 설명했다.

실행 중 검증은 검사 설정에서 켜는 선택 기능이다. 제품 안내에 따르면 격리된 컴퓨터에서 앱을 구동하고 중요한 발견 사항을 재현한다. 결과는 확인됨·오탐·사람의 검토 필요로 돌아오며 로그와 화면 자료가 붙는다. 일반 검사와 심층 검사도 구분해 선택할 수 있어, 결과를 읽을 때 어떤 검사와 검증 설정을 썼는지가 함께 적용된다.

패치와 위험 조정에 근거 첨부

수정 단계에서는 문제마다 독립된 가상 컴퓨터를 사용한다. 문제를 재현·수정하고 재현 시험과 기존 시험을 돌려 근거가 담긴 풀 리퀘스트(PR)를 연다. 발견 사항은 PR이 병합되고 데빈이 공격 경로의 해소를 확인할 때까지 열린 상태로 남는다고 기술 문서는 설명했다.

위험 등급을 조정할 때도 근거가 필요하다. 데빈은 원래의 공통 취약점 점수(CVSS)를 보존하고 접근 가능성·인증 조건·데이터·신뢰 경계를 설명해 사람의 승인을 받는다. 미국 사이버보안 당국의 알려진 악용 취약점 목록(KEV)에 실린 문제는 재분류하지 않는다.

클라우드에 맡기는 검사에는 서비스의 기존 보안 조건이 적용된다. 6월 11일 갱신한 보안 문서는 전송 중인 고객 데이터를 TLS 1.2 이상으로, 회사가 관리하는 저장 데이터를 AES-256 또는 동등 이상 방식으로 암호화한다고 명시한다. 서비스의 주요 사건을 담는 감사 로그는 최소 1년 보관한다. 개발 환경과 운영 환경 사이에는 네트워크 격리를 두고, 네트워크 통신은 기본 차단한 뒤 명시적으로 승인된 트래픽을 허용한다는 것이 문서의 설명이다.

고객 데이터를 처리하는 기존 약정은 서비스 제공 목적과 고객의 문서화된 지시에 따라 데이터를 쓰도록 정하고 있다. 10월 21일 갱신된 약정은 하위 처리업체에도 계약이나 기술 설정으로 모델 학습 이용을 제한하도록 했다. 여기서 고객 데이터는 약정이 정의한 개인정보 범위이며, 계정 관리용 정보는 별도로 구분한다.

미토스 등 지역 제한 모델을 쓰는 기능은 기업 고객에게 제공되며 계약 과정에서 이용 가능 여부를 확인한다. 10월 25일 갱신한 지원 지역 목록에는 한국·미국·일본·영국 등이 포함돼 있다. 이 목록은 지역 제한 모델을 사용하는 기능에 적용되는 것으로, 데빈 시큐리티 전체의 이용 지역을 일괄 정한 문서는 아니다.

지원 지역의 기업이라도 사용자가 지원하지 않는 지역에 있으면 해당 기능이 차단될 수 있다. 미지원 지역에 설립됐거나 본사가 있는 기업, 그 지역의 주체가 과반 소유하거나 통제하는 기업에도 제한이 적용된다. 코그니션은 모델 제공업체의 공급 범위가 바뀌면 목록을 갱신할 수 있다고 밝혔다.