구글은 7월 29일 OSS-Fuzz와 구글 딥마인드의 코드 보안 에이전트 CodeMender를 결합한 자동 패치 흐름을 공개했다. 취약점을 찾아 보고하는 데서 끝나지 않고 근본 원인을 분석해 수정안을 만드는 단계까지 지원하는 베타다. 모든 오픈소스 프로젝트에 자동 적용되는 정식 서비스는 아니다.
OSS-Fuzz가 실제 충돌과 취약점을 확인하면 관련 로그와 소스코드 맥락을 CodeMender에 전달한다. 에이전트는 여러 코드 경로와 가설을 병렬로 검토해 원인을 찾고 패치를 제안한다. 수정안은 격리된 환경에서 컴파일 여부, 충돌 재현 해소, 기존 기능의 회귀 여부를 시험한 뒤 유지관리자에게 전달된다.
구글은 OSS-Fuzz가 검증된 버그를 출발점으로 삼아 순수 AI 스캐너보다 오탐 부담을 낮출 수 있다고 설명했다. 기존 퍼징은 대규모 저장소를 지속적으로 검사하고 재현 가능한 결함을 찾는 역할을 맡는다. CodeMender는 확인된 문제의 원인 분석과 수정안 작성에 집중해 두 체계의 역할을 나누는 구조다.
오픈소스 유지관리자가 AI 생성 패치를 검토하느라 더 많은 시간을 쓰는 문제도 반영했다. 저장소가 AI 기여를 제한하면 제안을 보내지 않으며, 베타 기간에는 구글 엔지니어가 제출 전에 패치를 직접 검토한다. 따라서 자동 생성 결과가 사람의 승인 없이 병합된다는 뜻은 아니며, 프로젝트별 정책과 코드 소유자의 판단이 우선한다.
실제 효과는 패치 수보다 유지관리자의 수락률, 발견부터 수정까지 걸린 시간, 회귀 발생률로 평가해야 한다. 한 충돌을 막았더라도 같은 원인의 다른 입력 경로가 남을 수 있어 추가 퍼징과 회귀 시험이 필요하다. 지원 언어와 빌드 환경, 저장소 규칙에 따른 적용 범위가 공개돼야 오픈소스 유지 부담을 얼마나 줄였는지 판단할 수 있다.
저작권자 © STORIUM 무단전재 및 재배포 금지
