최근 상포 AI(Sangfor AI)는 국제적으로 인정받는 AI 보안 성능 평가 벤치마크인 사이버짐(CyberGym) 에서 뛰어난 성과를 거두었습니다 . 상포 AI는 ARVO와 OSS-Fuzz를 포함한 고난이도 취약점 문제들을 모두 해결하며 총 1,507개 과제 중 1,301개를 성공적으로 처리하여 86.3%의 벤치마크 성공률을 달성했습니다. 이번 평가에서 상포 AI는 오픈AI(OpenAI), 앤스로픽(Anthropic), 메타(Meta) 등 세계 최고 수준의 AI 에이전트들과 경쟁하여 최종적으로 세계 4위 안에 들었습니다.
AI 보안 평가의 벤치마크인 사이버짐(CyberGym)은 기존의 정적 또는 소규모 이론 테스트에서 벗어나 복잡하고 실제적인 문제에 초점을 맞춥니다. 사이버짐은 광범위한 주류 오픈 소스 소프트웨어 프로젝트와 ARVO 및 OSS-Fuzz와 같은 매우 어려운 과거 취약점을 포괄합니다. 대규모 코드베이스, 복잡한 컨텍스트, 다단계 공격 환경에서 대규모 모델과 보안 에이전트의 추론, 취약점 재현, PoC 검증 능력을 테스트합니다. 실제 산업 방어 시나리오와의 긴밀한 연관성 및 엄격한 검증 표준을 바탕으로, 사이버짐은 코드 보안 모델의 실제 운영 능력을 평가하는 데 있어 세계적으로 가장 권위 있고 신뢰할 수 있는 검증 플랫폼 중 하나로 인정받고 있습니다.
86.3% 달성의 비결: 에이전트 스웜 협업 아키텍처
취약점 연구는 단순히 일회성 코드 분석이나 PoC(개념 증명) 생성 작업이 아닙니다. 오히려 불완전한 정보 속에서 지속적으로 가설을 세우고, 증거를 수집하고, 잘못된 경로를 제거하고, 최종 결론에 도달하는 연구 과정입니다. 단일 모델은 부분적인 추론은 수행할 수 있지만, 장기적인 탐색, 병렬적인 가설 설정, 엄격한 검증을 안정적으로 처리하려면 이러한 기능들을 체계화하고, 유지하며, 제약할 수 있는 시스템 메커니즘이 필요합니다. 이러한 과제에 대응하여, 상포 AI는 단순한 확률적 스태킹에 의존하는 대신, "에이전트 스웜" 협업 아키텍처를 개척하고 엄격한 "증거 관리" 메커니즘을 도입했습니다. 이를 통해 취약점 조사 과정의 모든 단계가 명확하고 신뢰할 수 있도록 보장합니다.
- 탐색: 에이전트 스웜은 서로 다른 보안 가설을 중심으로 독립적이고 명확하게 구분된 조사를 진행함으로써 탐색 범위를 넓힙니다. 이를 통해 상호 보완적인 설명들을 교차 오염 없이 병렬적으로 검토할 수 있으며, 근거 없는 가정이 암묵적으로 공유되는 전제가 되는 것을 방지합니다.
- 증거: 조사는 완전한 대화 기록보다는 증거를 통해 조정됩니다. 검증된 관찰 내용과 반증된 경로 모두 활용 가능하며, 이는 증거가 조사 단계를 넘어서도 지속되어 잘못된 경로를 다시 찾아낼 필요가 없음을 의미합니다.
- 판정: 조정자는 이러한 지속적으로 변화하는 증거 상태를 활용하여 어떤 가설이 여전히 유효한지, 어떤 질문이 해결되지 않았는지, 그리고 추가 조사가 필요한 부분은 어디인지를 판단합니다. 따라서 연속적인 과정을 통해 증거에 기반한 탐색 공간이 점차 축소됩니다.
- 검토: 시스템은 증거가 구체적인 트리거 전략을 뒷받침할 때만 후보 입력값을 구성하여 공격자 검토를 위해 제출합니다. 이 검토에서는 관찰된 오류의 재현 가능성과 해당 오류가 지정된 취약점과 어떤 관련이 있는지 모두 검증합니다. 거부된 후보는 조사 방향을 전환하는 데 사용될 수 있으며, 부정적인 판단은 다음 탐색 단계에 대한 제약 조건으로 작용합니다. 이러한 엄격한 검토를 통과한 후보만이 시스템의 최종 보안 주장으로 채택됩니다.
프로젝트 팀의 기술 설계에서 강조했듯이, "가설은 탐색 범위를 넓히고, 증거는 주장을 확정한다."는 메커니즘을 통해 시스템은 결론을 도출하기 전에 매우 엄격한 증거 기준을 유지하면서도 여러 가설을 폭넓게 탐색할 수 있습니다. 궁극적으로 이 접근 방식은 ARVO 작업에서 87.2%, OSS-Fuzz 작업에서 77.7%, 그리고 전체 벤치마크에서 86.3%의 성공률을 달성했습니다.
혁신을 기업 발전에 통합하기
인공지능(AI)의 급속한 발전으로 공격자들은 이러한 기술을 활용하여 취약점 분석 및 악용의 진입 장벽을 급격히 낮추고, 버그 발견부터 대규모 악용까지 걸리는 시간을 단축하고 있습니다. 기업은 공격자보다 먼저 취약점을 식별, 검증 및 수정해야 합니다. 따라서 규칙 매칭에 의존하는 기존의 정적 애플리케이션 보안 테스트(SAST)는 자율적인 추론, 코드 이해, 비즈니스 로직 분석 및 취약점 검증 기능을 갖춘 보안 에이전트로 빠르게 진화해야 합니다. 이러한 새로운 보안 에이전트는 SQL 인젝션 및 명령 실행과 같은 일반적인 취약점을 정확하게 식별할 뿐만 아니라, 복잡한 비즈니스 워크플로를 심층적으로 이해하여 기존 도구로는 탐지하기 어려운 접근 제어 오류 및 인증 우회와 같은 고위험 문제를 발견해야 합니다. 한편, AI 기반 개발 보안 시스템에서 획기적인 발전을 이루기 위해 대규모 모델을 활용하는 것이 코드 보안 분야에서 주도권을 유지하는 데 핵심입니다.
사이버짐(CyberGym) 리더보드 순위는 단순히 뛰어난 벤치마크 이상의 의미를 지닙니다. 이는 실제 기업 수준의 코드 보안 시나리오에서 AI 보안 에이전트의 실질적인 역량을 입증하는 것입니다. 상포(Sangfor) AI는 전체 제품 라인에 AI 기능을 강화하고 기업 개발 라이프사이클에 깊이 통합하여 사용자에게 혁신적인 가치를 제공합니다.
- 취약점 탐지 기능 강화: 기존 SAST의 한계를 효과적으로 극복하여 비즈니스 로직 결함, 권한 상승, 인증 우회 등을 종합적으로 식별함으로써 코드 보안 범위를 크게 확장합니다.
- 수동 감사 비용 절감: AI를 활용하여 코드 이해, 파일 간 상관관계 분석, 공격 경로 추론 및 위험 검증을 자동화함으로써 보안 전문가의 수동 작업량을 크게 줄입니다.
- 오탐을 최소화하고 효율성을 높입니다. 다단계 추론 및 엄격한 증거 검증 메커니즘을 활용하여 오탐률을 낮추고, 개발자가 실제로 수정이 필요한 위험에 집중하고 비효율적인 수정을 방지할 수 있도록 합니다.
- 개발 및 배포 주기 단축: 보안 테스트를 코딩 단계 및 CI/CD 파이프라인으로 이동시켜 "코드 커밋 시 자동 감사"를 구현함으로써 후기 단계의 재작업 비용을 줄이고 비즈니스 배포 속도를 높입니다.
- 기업 보안 태세 전반 강화: 기업이 개발 프로세스 초기 단계부터 강력한 보안 방어 체계를 구축하도록 지원하여 데이터 유출 및 비즈니스 중단으로 인한 규정 준수 및 재정적 위험을 줄이고 디지털 운영을 보호합니다.
기업 사용자에게 있어 AI 보안 에이전트 의 핵심 가치는 단순히 "더 많은 버그를 찾는 것"을 훨씬 뛰어넘습니다. 높은 정확도, 줄어든 수작업, 그리고 빠른 대응 속도를 통해 개발 효율성과 코드 보안을 동시에 획기적으로 향상시키는 데 있습니다.
사이버짐(CyberGym) 평가에서 중국 최고의 AI 보안 솔루션 중 하나로 선정된 것은 상포 AI가 지능형 코드 보안을 향해 나아가는 중요한 이정표입니다. 앞으로도 상포 AI는 대규모 모델 보안 기술 분야에서 혁신을 선도하며, 최첨단 기술을 기업 비즈니스 시나리오에 실질적인 생산성으로 전환하고, 모든 사용자가 더욱 간편하고 안전하게 디지털 전환을 경험할 수 있도록 지원할 것입니다.
