deepsec는 코딩 에이전트를 이용해 기존 대형 코드베이스에서 오래 숨어 있던 보안 취약점을 찾는 오픈소스 스캐너다. 빠른 regex matcher로 후보 지점을 찾고, AI가 각 후보를 조사·검증·보고하는 파이프라인을 제공한다.

작동 흐름

npx deepsec init
cd .deepsec
pnpm install
pnpm deepsec scan
pnpm deepsec process
pnpm deepsec revalidate
pnpm deepsec export --format md-dir --out ./findings

scan은 빠른 후보 탐색, process는 AI 조사, revalidate는 false positive 감소, export는 결과 산출을 맡는다. 큰 저장소에서는 작업을 worker machine 또는 Vercel Sandbox microVM으로 분산할 수 있고, 중간에 끊겨도 재실행 시 이미 분석한 파일을 건너뛴다.

비용과 운영 전제

deepsec는 최대 thinking level의 강한 모델을 쓰도록 설계되어 대형 코드베이스에서는 수천 달러 이상의 비용이 들 수 있다고 명시한다. 그래서 “모든 PR에 항상 실행”보다, 오래된 대형 repo의 보안 빚을 한 번 깊게 파거나 릴리스 전 고위험 영역을 집중 조사하는 용도에 가깝다.

로컬에서는 기존 Claude/Codex 로그인 상태를 사용할 수 있지만, 실제 대형 스캔은 Vercel AI Gateway 키 사용을 권장한다.

보안 모델

deepsec 자체도 셸 접근이 있는 코딩 에이전트처럼 취급해야 한다. 신뢰하는 소스코드에서 실행하고, 외부 의존성이나 vendored code의 프롬프트 인젝션 가능성을 고려해야 한다. Vercel Sandbox를 쓰면 worker의 네트워크 egress와 API key 노출 범위를 줄일 수 있다.

관련 문서

• claude-security — Claude Enterprise 코드베이스 보안 취약점 자동 스캔 기능
• ai-code-review-tips-agentic — 에이전트 시대 코드 리뷰 병목과 위험 기반 리뷰
• agent-harness — 에이전트 하네스 설계
• context-bombing — 공격 AI 에이전트 방어 기법

참고 자료

• vercel-labs/deepsec — GitHub 공식 저장소