Visa, 에이전트형 취약점 분석 도구 VVAH 공개…탐지부터 수정 검증까지

Visa 공식 오픈소스 저장소에 따르면 회사는 프런티어 AI 모델을 활용해 소스코드의 취약점을 탐지하고 수정안을 제안·검증하는 에이전트형 정적 분석 파이프라인 ‘VVAH(Visa Vulnerability Agentic Harness)’를 공개했다. VVAH는 지난달 9일 1.0.0으로 처음 공개됐으며, 같은 달 30일 수정과 검증 단계를 더한 1.1.0으로 확장됐다.

VVAH는 코드 수집부터 검증된 수정안 도출까지 네 단계, 11개 세부 절차로 구성된다. 공격 표면을 파악하고 위협 모델을 만드는 단계에서 시작해 여러 관점의 코드 분석과 적대적 검증을 거친다. 이후 중복된 발견을 정리하고 공격 경로를 연결해 마크다운 보고서와 SARIF 2.1.0 형식의 결과를 만든다.

1.1.0에서는 취약점별 수정안을 만드는 ‘remediate’ 명령과 수정 결과를 다시 평가하는 ‘validate’ 명령이 추가됐다. 검증 패널은 보안 설계자와 침투테스터 역할의 에이전트가 근본 원인 해소, 누락된 취약 지점, 새 결함 유입 여부, 보안 모범 사례 적용을 기준으로 수정안을 평가하도록 설계됐다.

도구는 Anthropic Claude, OpenAI 호환 모델 또는 두 계열을 조합해 사용할 수 있다. 다만 현재 전체 기능이 모델 중립적인 것은 아니다. Visa 문서는 수정 적용에 필요한 파일 쓰기 기능과 마지막 검증 단계가 사실상 Anthropic 기반 실행 경로에 한정되고, OpenAI 호환 백엔드는 읽기 중심 분석과 보고서 작성만 수행할 수 있다고 설명한다.

운영 시 주의할 점도 있다. 기본 설정에서 단순히 scan 명령을 실행하면 탐지에 그치지 않고 수정 단계까지 이어져 대상 저장소의 소스 파일을 변경한다. 코드 변경 없이 탐지만 수행하려면 아홉 번째 단계에서 멈추는 옵션을 명시해야 한다. Visa는 승인받은 저장소만 검사하고, 생성된 발견과 수정안은 사람이 검토한 뒤 빌드와 테스트를 별도로 수행하라고 권고했다.

VVAH는 Anthropic의 AI 보안 연구 프로젝트인 Project Glasswing에서 얻은 설계 경험을 토대로 만들어졌다. 위협 모델링을 분석 앞단에 배치하고, 여러 에이전트의 결정론적 투표로 오탐을 줄이며, 발견부터 수정 적용 판단까지 걸리는 시간을 단축하는 데 초점을 맞췄다. 라이선스는 Apache 2.0이며 Python 3.10 이상 환경을 요구한다.

공개 자료에는 VVAH의 정밀도와 재현율, 기존 SAST 제품과의 비교 수치가 포함되지 않았다. 수정 단계가 실제 소스에 손을 대고 모델별 기능 차이도 있는 만큼, 조직이 도입하려면 격리된 복제 저장소에서 탐지 정확도와 비용, 권한 범위를 먼저 검증해야 한다.

출처: Visa VVAH 공식 GitHub 저장소 https://github.com/visa/visa-vulnerability-agentic-harness
출처: Visa VVAH 공식 변경 기록 https://github.com/visa/visa-vulnerability-agentic-harness/blob/main/CHANGELOG.md
출처: Visa Project Glasswing 기술 문서 https://corporate.visa.com/content/dam/VCOM/corporate/visa-perspectives/security-and-trust/documents/project-glasswing.pdf