Codex Security가 SAST 리포트를 제공하지 않는 이유

**SAST(Static Application Security Testing)**는 데이터 흐름을 추적해 취약점을 찾는 데 효과적이지만, 복잡한 코드베이스에서는 한계가 명확하다. 특히 데이터가 목적지에 도달하는지 여부보다, 코드에 구현된 보안 검증이 실제 시스템의 안전을 보장하는지가 더 중요하다.

예를 들어, 특정 함수가 sanitize_html()을 호출하더라도 해당 함수가 현재의 렌더링 컨텍스트나 인코딩 방식에 충분한지는 판단하기 어렵다. 또한, URL 디코딩 전에 정규식 검사를 수행하는 것과 같은 순서 오류(order-of-operations) 문제는 단순한 데이터 흐름 추적만으로는 잡아내기 힘들다.

Codex Security는 이러한 문제를 해결하기 위해 SAST 리포트를 단순히 가져와 분류하는 대신, 리포지토리 자체의 아키텍처와 의도된 동작을 먼저 분석한다.

이들의 접근 방식은 다음과 같다:

• 보안 검증의 실효성 검증: 보안 검증이나 정화(sanitization)를 단순한 통과 항목으로 보지 않고, 코드가 보장하려는 바를 이해한 뒤 이를 **반증(falsify)**하려 시도한다.
• 맥락 기반 분석: 보안 연구원처럼 리포지토리 전체의 맥락을 읽어, 코드의 의도와 실제 구현 사이의 불일치를 찾아낸다.
• 높은 신호 전달: 격리된 환경에서 문제를 검증하여, 보안 팀의 분석 피로도를 줄이고 신뢰도 높은 이슈를 제공한다.