Dropbox가 MCP와 Dash를 사용하여 설계-코드 간 보안 격차를 해소하는 방법

보안 팀이 설계 단계에서 위협 모델(Threat Model)을 통해 보호 조치를 정의하더라도, 실제 개발 단계인 Code Review 시점에는 해당 요구사항이 가시화되지 않는 문제가 발생한다. Dropbox의 조사 결과, 구현된 PR(Pull Request) 중 설계 리뷰와 연결된 사례는 단 **12%**에 불과했다.

설계와 구현 사이의 시간적 간격도 문제였다. 보안 리뷰 후 PR이 생성되기까지의 중간값은 약 5주였으며, 54%의 사례가 한 달 이상의 지연이 발생했다. 기존의 정적 분석 도구는 코드의 패턴만 검사할 뿐, 설계 당시의 의도나 맥락이 제대로 반영되었는지는 판단할 수 없다는 한계가 있다.

Dropbox는 이 격차를 줄이기 위해 세 가지 기술을 결합한 시스템을 구축했다.

• MCP (Model Context Protocol)
• Foundational LLM
• Dash (Dropbox의 AI 기능)

이 시스템은 Dash가 인덱싱한 Dropbox 내의 방대한 보안 리뷰 및 엔지니어링 문서를 활용하여, 코드 리뷰 중에 관련 위협 모델을 자동으로 검색하고 코드 변경 사항이 설계 요구사항과 일치하는지 평가한다.