치안신이 첫 번째 코드 보안 에이전트인 Qcode Agents를 정식 출시했습니다

증거 생성: 위험을 식별할 뿐만 아니라 재현 가능한 취약점 유발 경로도 생성할 수 있음.
실제 검증 결과, Qcode Agents가 비즈니스 로직 취약점을 탐지하는 성능이 지수적으로 향상되어 이 산업 분야의 핵심 공백을 실질적으로 메움.
AI 애플리케이션 공급망의 보안 경계 재정립: 모델에서 MCP에 이르기까지 전 요소 보호
현재 AI 애플리케이션의 공급망은 전통적인 오픈소스 구성요소의 범위를 훨씬 넘어섰다. 모델 파일, MCP(Model Context Protocol), Skill 등 새로운 요소들이 공격 표면 확장의 주요 초점이 되고 있다. 기존 SCA 도구는 이러한 새로운 객체에 대해 탐지·검증·도메인 지식이 부족하여 심각한 오진(거의 양성)과 누진(거의 음성)을 빈번히 일으키며, 결국 위험 평가를 잘못 내리게 된다.
Qcode Agents는 모델 종속성, MCP 도구, 스킬 호출 링크를 분석 관점에 포함시켜 AI 공급망의 모든 요소를 포괄하는 탐지 역량을 구축했습니다. Qianxin이 지난 10년간 소프트웨어 공급망 분야에서 축적해 온 심층적인 도메인 지식 기반과 정확한 상관관계 모델링 기술을 결합함으로써, Qcode Agents는 AI 애플리케이션용 소프트웨어 자재 목록(SBOM)을 자동으로 생성하고, 오픈소스 모델 사용을 명확히 추적하며, AI 애플리케이션 내 다양한 ‘보이지 않는 종속성’을 정확히 식별할 수 있습니다. 이를 통해 AI 애플리케이션의 다양한 공급망 보안 위험을 완전히 드러낼 수 있습니다.
강도 검증: 알려진 사례 재현 및 주요 프로젝트의 잠재적 취약점 발견
Qcode Agents의 탐지 역량은 여러 차례 테스트를 통해 완벽하게 검증되었으며, 기대를 뛰어넘는 성능을 달성했습니다:
산업 표준을 재현함: 클로드 코드 보안(Claude Code Security) 출시 시 공개된 세 가지 전형적인 보안 취약점을 완전히 재현하고, 취약점 유발 조건, 활용 경로 및 잠재적 위험 상황을 정확히 복원하여 그 탐지 로직의 진보성을 입증함.
오픈소스 프로젝트에 대한 심층 테스트: 애파치 오비즈(OFBiz), 애파치 로그4제이(Log4j), 리브피엔지(libpng), 지팩(GPAC) 등 널리 사용되는 유명 오픈소스 프로젝트를 선정하여 집중적인 심층 테스트를 수행했으며, 이 과정에서 해당 CVE 취약점을 성공적으로 재현함은 물론, 스택 오버플로우와 같은 비즈니스 로직 결함 및 고위험 취약점도 종합적으로 조사하였다. 예를 들어, 애파치 오비즈 탐지 시, Qcode Agents는 불완전한 로그인 검증 메커니즘으로 인해 발생한 우회 취약점을 발견했는데, 이는 전통적인 정적 분석으로는 식별할 수 없는 의미론적 빈틈이다. 또한 Qcode Agents는 내재화된 실무 경험을 바탕으로 로그인 시나리오의 검증 의미를 정확히 이해하여, 이러한 숨겨진 결함을 성공적으로 포착하였다.
내부 테스트 단계에서의 주요 발견 사항: Qcode Agents는 OpenSSL, TensorFlow, OpenCV, Memcached, RuoYi와 같은 주류 오픈 소스 시스템 및 프레임워크에서 10개 이상의 잠재적 보안 취약점을 식별하고 예비 검증 및 위험 수준 평가를 완료했습니다.
10년을 들여 칼날을 갈았으니: 실제 전투가 효과 검증의 유일한 기준입니다.
Qcode Agents의 뛰어난 성과는 공중 누각이 아니라, Qianxin이 10년 이상 코드 보안을 쌓아온 탄탄한 기반 위에 세워졌습니다.
깊은 축적: Qianxin은 중국에서 기업 수준의 SAST(정적 애플리케이션 보안 테스팅) 제품화를 가장 먼저 도입한 제조업체 중 하나입니다. 주력 제품인 "Code Defender"는 수십 가지 언어를 지원하며, 수천 가지의 취약점 유형을 포괄하고, 1,000여 개의 대형 정부 및 기업 고객에게 서비스를 제공하며, 실무 경험을 통해 검증된 고품질 규칙 수만 개를 축적했습니다.
벤치마크 검증: 2025년 초에 출시된 "AI+Code Defender"는 베이징은행(Bank of Beijing) 및 PICC 테크놀로지(PICC Technology) 등 주요 금융 고객사에 도입되었다. 데이터에 따르면, 코드 감사 주기를 기존 대비 83% 이상 단축했으며, 인건비를 기존 전통 모델의 1/6 수준으로 절감했고, 고위험 취약점 탐지율을 95% 이상 달성했다.
마무리 말
"Code Defender"에서 "AI+Code Defender"로, 그리고 이제는 "Qcode Agents" 지능형 에이전트로 이어지는 과정은 실무적 요구와 밀접하게 연계된 지속적인 개선 및 반복 개발을 의미한다. 치안신(Qianxin)이 출시한 Qcode Agents는 단순한 제품 업그레이드가 아니라, 기술적 축적, 공격·방어 경험, 고객 현장 적용 사례를 종합적으로 융합한 결과물이다. 이는 AI가 단순히 코드를 '이해'하는 것을 넘어, 비즈니스를 '이해'하고, 사용자 경험을 '강화'하며, 문제 해결까지 '완결'할 수 있도록 지원함으로써, 기업을 위한 안정적이고 효율적이며 신뢰할 수 있는 코드 보안 체계를 구축한다.