Vercel의 보안 도구 Deepsec 살펴보기

Vercel이 deepsec을 오픈소스로 공개했다. 코딩 에이전트가 코드베이스를 탐색하는 보안 하네스로, 자체 인프라에서 돌아가 민감한 소스코드를 외부 클라우드에 맡기지 않아도 된다. 추론은 기존 Claude 또는 Codex 구독으로 처리하며, 대형 리포지토리는 Vercel Sandboxes로 팬아웃해 병렬 실행할 수 있다. Vercel 내부에서는 1,000개 이상의 동시 샌드박스까지 쓰는 스캔도 가능하다.

작업 흐름은 다섯 단계다.

• Scan: 전체 파일을 정규식으로 훑어 보안 민감 파일을 고른다.
• Investigate: 에이전트가 후보 파일의 데이터 흐름과 완화책을 추적한다.
• Revalidate: 두 번째 에이전트가 결과를 검증해 오탐을 줄이고 심각도를 다시 매긴다.
• Enrich: Git 메타데이터와 선택적 서비스로 수정 책임자를 찾는다.
• Export: 결과를 사람용 티켓으로 옮기기 쉬운 지시문 형식으로 내보낸다.

Anthropic과 OpenAI의 cyber 버전 모델도 지원하지만, 기본 모델로도 충분히 동작한다. 내부 테스트에서는 각 단계 뒤에 거절 여부를 확인하는 분류기를 넣었고, Opus 4.7과 GPT 5.5에서는 거절이 사실상 문제가 되지 않았다.

오탐률은 대략 10~20% 수준으로 인정하고 있으며, 이를 줄이기 위해 revalidate 단계를 둔다. plugin system으로 코드베이스별 맞춤 스캐너를 붙일 수 있고, 인증 경로·데이터 계층·팀 규칙에 맞춘 regex matcher가 핵심이다. Vercel은 자체 모노레포와 고객·파트너의 오픈소스 코드에서 이를 검증했고, Dub 코드베이스에서는 모든 인증 경로를 커버하는 커스텀 스캐너 플러그인까지 만들었다.

시작은 npx deepsec init 한 줄이다. 저장소 루트에 ./.deepsec 디렉터리가 생성되며, 이후 설정과 조사 기록이 그 아래에 쌓인다. Vercel은 아직 개발 초기 단계라고 밝히며 GitHub에서 피드백과 기여를 받고 있다.