[AI는 지금] "AI가 짠 코드, AI가 잡는다"…시스코, 개발보안 시장 정조준

[지디넷코리아]시스코가 소프트웨어 취약점 탐지에 특화된 소형 인공지능(AI) 모델을 내놓으며 개발보안 시장 공략에 나섰다.

대형 범용 모델 대신 비용 부담을 낮추고 내부 환경에서도 운영할 수 있는 특화 모델을 앞세워 코드 변경 때마다 취약점을 점검하는 체계를 확산하려는 전략이다.23일 업계에 따르면 시스코는 최근 코드 저장소에서 알려진 취약점이 포함됐을 가능성이 높은 파일을 찾아주는 소형언어모델(SLM) 제품군 '안타레스'를 공개했다.

3억5000만개 매개변수의 '안타레스-350M'과 10억개 규모의 '안타레스-1B'를 허깅페이스에 오픈웨이트로 배포했으며 30억 개 규모 모델도 추가할 예정이다.안타레스는 취약점 설명을 입력받아 관련 코드 패턴과 후보 파일을 탐색한다.

또 새로운 단서를 반영해 검색 경로를 수정하고 가능성이 높은 파일 순위와 탐색 과정을 함께 제시한다.

여기에 취약점을 직접 수정하거나 최종 판정하기보다 보안 담당자가 우선 검토할 파일을 좁혀 초기 조사 시간을 줄이는 데 초점을 맞췄다.시스코가 소형 모델을 택한 것은 AI 코딩 도구 확산으로 검사해야 할 코드가 빠르게 늘고 있어서다.

대형 모델을 이용해 코드 저장소를 반복 분석하면 토큰과 추론 비용이 커지고, 기업의 소스코드를 외부 클라우드에 전송해야 한다는 부담도 따른다.안타레스는 로컬이나 온프레미스 환경에서 실행할 수 있어 민감한 소스코드를 기업 내부에 유지할 수 있다.

덕분에 금융·공공·국방·제조 분야에선 외부 AI 서비스에 소스코드를 전송하지 않고 취약점을 분석할 수 있다.

또 대형 모델 도입이 부담스러운 중소 보안팀의 AI 활용 문턱도 낮출 것으로 보인다.주요 외신도 안타레스의 비용과 데이터 통제에 주목했다.

특히 악시오스는 기업이 민감한 소스코드를 외부 AI 사업자와 공유하지 않고 대규모 코드베이스를 더 자주 검사할 수 있는 저비용 수단이라고 평가했다.

또 안타레스가 코딩 도우미보다 코드 저장소를 추적하는 보안 조사관에 가깝다는 점도 강조했다.시스코는 자체 개발한 500개 과제의 취약점 위치 탐색 벤치마크에서 안타레스가 다수의 대형 공개·비공개 모델보다 낮은 비용으로 높은 성능을 냈다고 주장했다.

회사 측 측정에 따르면 전체 평가 비용은 안타레스가 1달러 미만으로, GLM-5.2(약 12.5달러)와 GPT-5.5(약 141달러)보다 낮았다.다만 안타레스가 기존 애플리케이션 보안 제품을 곧바로 대체할 가능성은 크지 않을 것으로 보인다.

규칙 기반 정적 분석이 다수의 경고를 생성하면 소형 AI가 코드 저장소를 추가로 탐색해 검토 대상을 압축하는 결합 방식이 먼저 확산될 것으로 예상된다.

성능 경쟁도 취약점 탐지 건수에서 오탐 감소와 검사 비용, 탐색 근거의 추적 가능성, CI·CD 연동 능력으로 넓어질 수 있다.시스코는 안타레스를 단일 모델보다 AI 개발보안 생태계의 구성 요소로 배치하고 있다.

안전한 코딩 규칙을 제공하는 '코드가드', AI 보안 에이전트의 역할과 검증 절차를 정의한 '파운드리 시큐리티 스펙'에 취약점 위치 탐색 모델을 추가했다.

이는 코드 생성 단계의 예방부터 취약점 탐색과 평가까지 이어지는 체계를 오픈 기술로 확산한 뒤 자사 보안 플랫폼과 연결할 기반을 확보하려는 구상으로 풀이된다.업계에선 AI 코딩 에이전트가 생산하는 코드가 늘면서 사람이 모든 변경 사항을 검사하기 어려워질 것으로 보고 있다.

개발 과정에 소형 모델을 배치해 커밋마다 취약점 후보를 추리는 방식이 확산되면 보안 AI 시장의 경쟁 기준도 대형 모델의 성능보다 비용과 검사 빈도, 운영 효율로 옮겨갈 가능성이 크다.아민 사베리 스탠퍼드대 교수는 "첨단 AI 탐지는 대규모 예산을 가진 조직의 영역에 머물러 있었다"며 "비용을 낮추고 모든 코드 변경 때 실행할 수 있는 효율성이 모든 팀의 상시 보안 검사를 가능하게 한다"고 말했다. ...