Vercel, deepsec 공개

Vercel Labs가 대규모 코드베이스에 잠복한 취약점을 찾는 오픈소스 보안 하네스 deepsec을 공개했다. 자체 인프라에서 실행하며, 커밋마다 동작하는 정적 분석 도구가 놓치기 쉬운 오래된 코드를 온디맨드로 정밀 조사하는 데 초점을 둔다.

핵심 파이프라인은 다음과 같다.

• scan: 무료 정규식 스캔으로 취약점 후보를 수집한다.
• process: 후보 파일을 배치로 묶어 AI 에이전트가 프로젝트 맥락과 함께 분석한다.
• revalidate: 발견 결과를 재검토하고 git 이력까지 확인해 TP/FP/fixed/uncertain으로 분류한다.
• enrich/export: 커미터·소유권 정보를 추가하고 JSON이나 Markdown으로 결과를 내보낸다.

저장소별 관례와 인증·미들웨어 구조를 이해시키기 위해 INFO.md를 조사 배치에 주입하며, 각 단계는 공통 FileRecord JSON을 사용해 중단 후 재실행하거나 결과를 병합할 수 있다. 대규모 모노레포는 Vercel Sandbox 마이크로VM으로 작업을 분산한다.

AI 에이전트는 Codex, Claude, Pi를 지원하며, 기본 모델은 각각 gpt-5.5, claude-opus-4-8, zai/glm-5.2다. 전체 코드베이스를 고강도 추론으로 분석하는 만큼 스캔 비용은 수천~수만 달러까지 발생할 수 있어, 보안 예산이 있는 대규모 저장소 운영팀을 주요 대상으로 한다.