Harness, 보안 취약점 분류 및 패치용 AI 에이전트 출시

소프트웨어 배포 플랫폼 제공업체 Harness Inc.는 오늘 소프트웨어 취약점을 찾아내고 패치를 작성하는 일련의 인공지능 에이전트를 출시했습니다.

개발자는 배포 전에 수정 사항을 승인합니다. AI SAST는 결정론적 정적 스캐너를 실행한 다음 AI 레이어를 적용하여 노이즈를 제거합니다. Harness는 해당 레이어가 오탐을 줄이고 기존 도구가 완전히 놓치기 쉬운 권한 확인 누락과 같은 로직 결함을 잡아낸다고 밝혔습니다.

여기서 걸러진 결과는 Triage Agent로 전달되어, 소프트웨어가 악용 가능하다고 판단한 발견 사항으로 범위를 좁힙니다. Remediation Agent는 수정안을 초안하고 검증한 후 취약한 함수에 대해 풀 리퀘스트(pull request)를 생성합니다.

Zero-Day Agent는 새로 공개된 결함을 24시간 감시하고 고객 환경 전체에서 영향을 받는 시스템을 표시하며, 종종 몇 분 내에 검증된 수정 패치가 준비됩니다. 가상 패칭은 코드 수정 사항이 배포될 때까지 운영 환경에서의 악용을 차단합니다. 이를 위해 코드를 변경할 필요는 없습니다. 자체 대규모 언어 모델 스캐너를 운영하는 고객은 해당 결과를 분류 워크플로우에 연결할 수도 있습니다.

회사는 프런티어 모델을 사용하는 공격자가 공개된 정보에서 실제 작동하는 익스플로잇까지 빠르면 6 hours 만에 도달할 수 있다고 밝혔습니다. 평균적인 취약점 수정에는 50 days 이상이 소요됩니다. Harness의 테스트 결과, 프런티어 모델은 기존 스캐너보다 약 10 times 더 많은 취약점을 찾아내는 것으로 나타났습니다. 대부분의 보안 팀이 그만큼 많은 결과물을 처리할 수 있는 현실적인 방법이 없다고 회사는 주장합니다.

이번 출시는 Claude Mythos Preview를 지칭하는 “Mythos-class” 모델을 활용합니다. Anthropic PBC는 해당 모델이 소프트웨어 취약점을 찾아내고 연결하는 능력이 매우 뛰어나기 때문에 일반 출시를 제한해 왔습니다. 방어자들은 since April부터 Project Glasswing을 통해 액세스할 수 있었습니다.

공동 창립자이자 최고경영자인 Jyoti Bansal은 공격자들이 Harness 고객들이 소프트웨어를 빠르게 배포하도록 돕는 것과 동일한 모델을 사용하고 있다고 말했습니다. 보안은 “배포 파이프라인 그 자체의 일급 구성 요소”가 되어야 한다고 그는 말했습니다. 현재 작업은 서로 연결되지 않은 스캐닝, 티켓팅 및 배포 시스템 간의 인수인계 과정에서 지체되고 있습니다.