보안 업체가 Miden zkVM 감사를 준비하며 AI 에이전트를 활용해 LSP 서버, 디컴파일러, 정적 분석 엔진, Lean 형식 모델을 6개월간 직접 구축한 사례를 소개한다. 이렇게 만든 도구들이 실제 보안 취약점(악성 프로버가 Falcon 서명을 위조해 자금을 탈취할 수 있는 미검증 입력 문제)을 발견했고, 95개의 기계 검증 정확성 증명을 확보했다. 코드 리뷰 외에도 감사 준비 단계부터 AI가 감사 품질과 깊이를 크게 높일 수 있음을 보여준다.
ImpactGate는 코드 변경이 기존 구조에 추가하는 복잡도(구조적 부패)를 점수화하여, 임계값을 초과하면 경고하거나 빌드를 차단하는 오픈소스 도구입니다. CLI, git pre-commit 훅, GitHub/GitLab/Jenkins CI 플러그인으로 사용할 수 있으며, 이미 복잡한 클래스에 변경이 누적될수록 높은 점수를 매겨 '갓 클래스'로 조용히 비대해지는 파일을 조기에 발견할 수 있게 합니다. AI 생성 코드가 대량으로 유입되는 상황에서 코드베이스 품질을 지키는 실용적인 방어선이라는 점에서 주목받습니다.
Graphify C#은 무료 헤드리스 Roslyn/MSBuild 인덱서로, C# 소스 코드를 컴파일러가 실제로 해석한 호출·참조·구현·상속 관계를 JSON 그래프로 출력해 코딩 에이전트(Codex, Claude Code 등)에 제공합니다. 단순 텍스트 검색과 달리 오버로드, 제네릭, 프로젝트 경계를 넘어서도 정확한 심볼 바인딩을 보장하며, IDE나 데이터베이스 없이 MIT 라이선스로 사용할 수 있습니다.
러스트(Rust) 코드의 안전성과 기능적 정합성을 검증하기 위한 오픈소스 모델 체커 'Kani'가 공개되었습니다. Kani는 유한 범위 모델 검사(Bounded Model Checking)를 넘어 사용자가 직접 명세를 작성하지 않아도 잠재적인 런타임 패닉이나 unsafe 구문의 오류를 자동으로 찾아내고 검증합니다. 이 도구는 산업계 실제 프로젝트와 CI 환경에 적용되어 수많은 코드 변경 사항을 검증하며 그 유용성과 확장성을 입증했습니다.
보안 플랫폼 아이키도(Aikido)가 소스 코드 내 숨겨진 복잡한 논리적 취약점을 찾아내는 '코드 감사(Code Audit)' 기능을 출시했습니다. 이 도구는 정적 분석(SAST)과 모의해킹의 한계를 넘어, 에이전트 AI가 파일 간의 복잡한 로직을 추적하여 기존 방식으로는 발견하기 어려운 다단계 취약점을 해결책(PR)과 함께 제시합니다. 실제 테스트 결과, 정규 모의해킹 비용의 10분의 1로 약 70~80%의 취약점을 탐지하는 등 비용 및 시간 효율성을 크게 높였습니다.