Cloudflare, AI 취약점 발견 하니스 공개…“모델보다 오케스트레이션이 핵심”

Cloudflare 공식 블로그에 따르면 회사는 2026년 6월 18일 AI 기반 취약점 발견 하니스의 운영 구조를 공개했다. 이번 글은 프런티어 모델을 보안 분석에 적용하는 방법을 단일 프롬프트나 코딩 에이전트가 아니라, 상태를 가진 파이프라인과 독립 검증 체계로 다뤄야 한다는 점을 강조한다.

Cloudflare는 몇 주 전 공개한 Project Glasswing 후속 글에서, 기업 코드베이스를 대상으로 한 취약점 탐지 자동화 경험을 설명했다. 회사는 특정 모델에 종속된 구조가 아니라 모델을 교체 가능한 구성 요소로 취급해야 한다고 밝혔다. 하나의 모델이 같은 코드 경로를 비슷한 방식으로 해석할 수 있기 때문에, 발견과 검증 단계에서 서로 다른 모델을 쓰는 방식이 방어 범위를 넓힌다는 설명이다.

공개된 하니스는 취약점 발견 하니스(VDH)와 취약점 검증 시스템(VVS)이라는 두 단계로 구성된다. VDH는 저장소 구조를 파악하는 정찰, 공격 유형별 탐색, 검증, 중복 제거, 의존성 추적, 피드백, 보고 단계를 거친다. VVS는 살아남은 발견 사항을 다시 중복 제거하고, 실제 운영 환경에서 도달 가능한 위험인지 판단한 뒤, 수정 패치와 테스트를 준비하는 흐름을 맡는다.

Cloudflare는 이 과정에서 가장 중요한 설계 조건으로 지속성과 맥락 통제를 꼽았다. 단일 에이전트가 긴 분석을 이어가면 컨텍스트가 포화되고 앞서 찾은 단서를 잃기 쉽다. 회사는 각 단계의 작업을 좁게 나누고, 실행 상태를 데이터베이스에 저장해 재시작과 재검증이 가능하도록 했다고 설명했다.

독립 검증도 핵심 장치로 제시됐다. Cloudflare는 모델이 스스로 만든 취약점이나 위협 모델이 성립하지 않는 발견을 확신 있게 보고할 수 있다고 지적했다. 이를 줄이기 위해 파일 경로와 패치·테스트의 형식은 결정론적 코드로 확인하고, 별도 검증 에이전트가 발견자의 주장을 반박하는 역할만 맡도록 설계했다. 검증자는 새로운 발견을 제출할 수 없고, 기존 발견을 통과시키거나 탈락시키는 데 집중한다.

규모 면에서도 운영 경험이 공개됐다. Cloudflare는 128개 저장소를 대상으로 의존성 관계를 추적하는 하니스를 구성하는 데 약 6주가 걸렸고, 공개 시점 기준 VDH가 만든 2만799개 원시 후보 중 약 1만2057개가 검증을 통과했다고 밝혔다. 이후 중앙 검증 시스템에서 중복 5442건을 접고, 최종적으로 7245개 항목이 엔지니어링 팀이 처리할 수 있는 발견으로 남았다는 수치도 제시했다.

다만 이 숫자는 Cloudflare 내부 실험과 운영 맥락에 따른 결과다. 회사도 전체 실제 버그 수를 알 수 없기 때문에 허위 음성률을 주장하지 않는다고 밝혔다. 공개된 내용은 특정 제품의 취약점 공지가 아니라, AI 보안 자동화 시스템을 어떻게 설계하고 검증해야 하는지에 관한 기술 사례에 가깝다.

이번 발표는 AI 에이전트가 보안 업무를 보조하는 방식이 단순 코드 리뷰를 넘어 지속 실행형 파이프라인으로 이동하고 있음을 보여준다. 동시에 모델 출력 자체를 신뢰하지 않고, 상태 저장, 독립 검증, 사람의 최종 검토를 결합해야 한다는 현실적인 한계도 드러낸다. 기업 보안 조직에는 AI 도입의 성패가 모델 선택만이 아니라 운영 구조와 검증 체계에 달려 있다는 메시지로 읽힌다.

출처: Cloudflare Blog https://blog.cloudflare.com/build-your-own-vulnerability-harness/
출처: Cloudflare Blog https://blog.cloudflare.com/cyber-frontier-models/
출처: Cloudflare Blog https://blog.cloudflare.com/frontier-model-defense/