Google Mantis: AI가 코드 보안을 자동으로 진단하고 치료하는 시대의 개막 | AI 러닝로그

보안 팀의 근본 문제: 신호와 노이즈의 전쟁

당신의 팀이 보안을 담당한다면, 매일 경험하는 악몽이 있을 것이다:

수백 개의 취약점 알림이 들어온다. 하지만 대부분은 거짓이다.

Google이 발표한 조사에 따르면, 기존 보안 스캔 도구의 진양성(True Positive) 비율은 7% 미만이다. 즉, 당신의 팀은 아래와 같은 일을 매일 반복한다:

자동 스캔 도구가 취약점 500개를 보고함
개발자가 수동으로 하나씩 확인함
대부분은 “이건 실제로 문제 아님”이라고 판단
35개 정도만 실제 보안 이슈

이 프로세스는 비용이 엄청나다. 팀의 시간이 낭비되고, 진정한 위험은 노이즈 속에 묻힌다.

Google의 Mantis는 이 문제 해결을 목표로 AI 기반 설계를 시도했다.

Mantis의 혁신: “AI가 거짓말을 걸러낸다”

Mantis의 핵심은 단순하지만 강력하다:

한 개의 에이전트가 취약점을 찾으면, 다른 에이전트들이 그것을 검증한다.

다층 검증 구조

Mantis는 여러 AI 에이전트가 각 단계에서 검증을 수행하는 구조로 설계되었다. 하나의 에이전트가 발견한 내용을 다른 에이전트가 검증하는 방식으로, 거짓 양성을 저감하는 것을 목표로 한다.

각 에이전트가 순차적으로 검증 단계를 거치기 때문에, 의미 있는 취약점만 팀에 보고될 가능성이 높아진다.

가상 시나리오: Mantis 활용 가능성

시나리오 1: 스타트업의 보안 자동화

상황: 전담 보안 인력이 없는 개발팀

기존 도구는 거짓 양성이 많아 팀의 검증 시간이 많이 소요된다. Mantis의 AI 기반 필터링을 통해 의미 있는 취약점에만 집중할 수 있다.

시나리오 2: 대규모 마이그레이션 프로젝트

상황: 레거시 시스템을 최신 프레임워크로 마이그레이션

기존 수동 코드 리뷰의 부담을 줄이고, 미처 발견하지 못한 보안 문제를 자동으로 검증할 수 있다.

시나리오 3: 오픈소스 프로젝트 유지보수

상황: PR마다 수동으로 보안을 검증해야 하는 상황

Mantis가 기여자 제출 코드의 초기 검증을 자동화하면, 유지보수자는 실제 의사결정에만 집중할 수 있다.

현실적 한계와 기대치: Mantis가 “완벽하지 않은” 이유

Mantis가 혁신적이라고 해서 모든 문제를 푸는 것은 아니다.

현재 한계

0-day 취약점은 못 찾음
- Mantis는 “알려진 패턴”을 배웠음
- 완전히 새로운 공격 기법은 감지 불가
비즈니스 로직 취약점은 약함
- “이 접근 제어가 정말 올바른가?“는 판단 어려움
- 설계 단계의 문제는 발견 못 함
거짓 양성의 완전 제거는 제한적
- AI도 실수할 수 있으며, 모든 거짓 양성을 완벽히 필터링할 수는 없음
- 일부 거짓 양성이 남을 수 있다는 점을 고려해야 함

결론: 이 기술이 중요한 이유

Mantis는 “또 다른 보안 도구”가 아니다.

이것은 패러다임 시프트다.

기존 보안 자동화:

발견 (자동) → 검증 (수동) → 수정 (수동)
          ↑ 여기서 대부분의 시간 소비

AI 기반 보안 자동화 (Mantis):

발견 (자동) → 검증 (자동) → 수정 (자동)
                        → 팀은 우선순위만 결정

누가 지금 써야 할까?

✅ 강력 추천:

보안 팀이 없는 스타트업
마이그레이션 프로젝트 진행 중인 기업
오픈소스 유지보수자

⚠️ 신중하게 도입:

규제 많은 산업 (금융, 의료)
완벽한 자동화를 기대하는 경우

다음 스텝

작은 프로젝트로 시작 → 한 팀의 마이크로서비스 정도
결과 리뷰 → “이게 우리 위험도를 제대로 반영하나?”
CI/CD 통합 → PR 자동화
문화 변화 → “보안 리뷰 = AI + 인간의 협업”

Google Mantis는 “보안을 프로그래머에게 돌려주는” 도구다.

전담 보안 팀 없이도, 인류가 지금까지 수동으로 하던 취약점 검증을 AI가 신뢰할 수 있는 수준에서 자동화할 수 있다는 의미다.

보안은 더 이상 “보안 팀의 책임”이 아니라, 전사적 자동화의 대상이 되었다.

이것이 우리가 봐야 할 변화다.