Capital One, 에이전트형 코드 보안 도구 ‘VulnHunter’ 오픈소스 공개

Capital One 공식 기술 블로그에 따르면 회사는 16일 에이전트형 코드 보안 도구 ‘VulnHunter’를 오픈소스로 공개했다. 잠재적인 외부 진입점에서 출발해 애플리케이션 내부 흐름을 따라가며 실제 악용 가능성을 따지고, 발견된 결함의 수정과 검증까지 이어가는 도구다.

VulnHunter는 정적 분석 도구처럼 위험해 보이는 코드 패턴만 찾는 대신 API, 네트워크 메시지, 파일 업로드 등 공격자가 접근할 수 있는 지점에서 분석을 시작한다. 이후 데이터 변환과 보안 검사를 거쳐 위험한 처리 지점까지 연결되는 경로를 순방향으로 추적한다.

잠재적 취약점을 찾은 뒤에는 자체 결론을 반박하는 ‘falsification engine’을 거친다. 공격 경로에 근거 없는 가정이나 논리적 공백이 있는지, 기존 보안 통제가 공격을 차단하는지 확인해 성립하지 않는 결과를 걸러내도록 설계됐다. 남은 결과에는 공격 경로의 근거와 예상 영향, 검토 가능한 수정안을 함께 제시한다.

공개 저장소에는 탐지, 수정, 독립 검증을 담당하는 세 가지 Claude Code 스킬이 포함됐다. 탐지 스킬은 진입점에서 위험한 처리 지점까지의 경로를 찾고, 수정 스킬은 재현용 보안 테스트를 만든 뒤 패치를 적용한다. 별도의 읽기 전용 검증 스킬은 수정된 결함이 실제로 차단됐는지 다시 판단한다. 여러 저장소를 비대화형으로 점검하고 GitHub 이슈를 생성하는 실행 도구와 벤치마크용 하네스도 제공된다.

Capital One은 내부 수천 개 저장소와 여러 사업 영역에서 VulnHunter를 활용해 취약점을 찾아 수정했다고 밝혔다. 다만 공개 자료에는 탐지율이나 오탐률을 비교할 수 있는 정량 벤치마크가 담기지 않았다. 실제 성능과 다른 개발 환경에서의 재현성은 후속 검증이 필요하다.

현재 구현은 Claude Code와 Claude Opus 사용을 전제로 하며, Capital One 기술 블로그는 Claude Opus 4.8에 최적화됐다고 설명한다. 취약점 발견과 악용 가능성 분석을 함께 수행하는 이중용도 도구인 만큼 저장소는 승인받은 코드만 점검하고, Anthropic의 관련 검증 절차를 확인하라고 안내한다. 라이선스는 Apache 2.0이다.

금융회사가 내부 보안 자동화 경험을 개발자 도구로 공개했다는 점은 주목할 만하다. 동시에 모델 의존성과 공개 성능 지표의 부재가 확인되는 만큼, 실제 도입 전에는 대상 코드와 운영 환경에서 탐지 정확도와 비용, 권한 범위를 별도로 검증해야 한다.

출처: Capital One Tech https://www.capitalone.com/tech/open-source/announcing-vulnhunter/
출처: Capital One VulnHunter GitHub 저장소 https://github.com/capitalone/vulnhunter