# \#static-analysis
**URL:** https://discuss.pytorch.kr/tag/static-analysis/6715.md
[최신](https://discuss.pytorch.kr/latest.md) · [카테고리](https://discuss.pytorch.kr/categories.md) · [태그](https://discuss.pytorch.kr/tags.md)
---
## [SkillSpector: AI 에이전트 스킬을 설치 전에 검사하는 NVIDIA의 보안 스캐너](https://discuss.pytorch.kr/t/skillspector-ai-nvidia/10986)
**Author:** [@9bow](https://discuss.pytorch.kr/u/9bow)\
**댓글:** 0\
**마지막 업데이트:** [6월 30, 2026, 3:30오전 UTC](https://discuss.pytorch.kr/t/skillspector-ai-nvidia/10986 "2026-06-30T03:30:52Z")
SkillSpector 소개 Claude Code, Codex CLI, Gemini CLI 같은 코딩 에이전트는 "스킬(skill)"이라는 형태로 외부 지시문과 스크립트를 가져와 실행합니다. 문제는 이 스킬들이 대체로 암묵적 신뢰를 받으며 거의 검증 없이 설치된다는 점입니다. SkillSpector는 NVIDIA가 공개한 보안 스캐너로, 스킬을 설치하기 전에 "이 스킬을 설치해도 안전한가?"라는 질문에 답하는 것을 목표로 합니다. SkillSpector가 인용하는 연구에 따르면 대규모 마켓플레이스에서 수집한 스킬 가운데 26.1%가 최소 한 개 이상의 취약점을 포함하고, 5.2%는 악의적 의도를 보이는 것으로 나타났습니다. 즉 사용자가 무심코 가져오는 스킬 상당수가 프롬프트 인젝션(Prompt Injection), 자격 증명 탈취, 공급망(Supply Chain) 위험 같은 문제를 안고 있을 수 있습니다. SkillSpector는 이런 스킬을 설치 시점 이전에 정적·의미 분석으로 걸러내는 게이트 역할을 합니다. 설치 대상은 단일 SKILL.md 파일부터 디렉토리, zip 파일, Git 저장소, 원격 URL까지 다양한 형태를 지원합니다. 검사 결과는 0부터 100까지의 위험 점수와 심각도 라벨, 그리고 설치 여부 추천으로 정리되며, 사람이 읽는 터미널 출력뿐 아니라 CI 파이프라인이나 에디터 도구가 그대로 소비할 수 있는 기계 판독 형식으로도 출력됩니다. 본 게시물에서는 SkillSpector가 풀려는 문제, 2단계 검사 파이프라인, 탐지 범주, 설치·통합 방법, 그리고 도구의 신뢰 모델과 한계를 정리합니다. SkillSpector가 다루는 문제: 검증되지 않은 스킬의 위험 SkillSpector의 출발점은 에이전트 스킬 생태계에 대한 실증 연구입니다. 저장소는 Liu 등(2026)의 "Agent Skills in the Wild: An Empirical Study of Security Vulnerabilities at Scale" 연구를 근거로 들며…
---
## [Anthropic, AI 기반 취약점 탐지 도구 Claude Code Security 발표 및 연구용 미리보기 사용 신청 시작](https://discuss.pytorch.kr/t/anthropic-ai-claude-code-security/9106)
**Author:** [@9bow](https://discuss.pytorch.kr/u/9bow)\
**댓글:** 0\
**마지막 업데이트:** [2월 28, 2026, 9:30오전 UTC](https://discuss.pytorch.kr/t/anthropic-ai-claude-code-security/9106 "2026-02-28T09:30:35Z")
Claude Code Security 소개 이번에 Anthropic에서 새롭게 발표한 Claude Code Security는 웹 기반의 Claude Code에 통합된 보안 스캐닝 및 자동 패치 제안 도구입니다. 현재 소프트웨어 개발 및 보안 생태계는 폭발적으로 증가하는 코드 취약점과 이를 해결할 전문 보안 인력의 부족이라는 심각한 불균형 문제에 직면해 있습니다. 특히 공격자들이 AI를 활용하여 취약점을 빠르게 찾아내고 악용할 가능성이 커지면서, 방어자(Defenders) 역시 프론티어 AI의 능력을 활용하여 선제적으로 대응해야 할 필요성이 대두되었습니다. 이러한 배경 속에서 Anthropic은 프론티어 AI 모델의 추론 능력을 방어자들의 손에 쥐여주기 위해 Claude Code Security를 출시했습니다. 이 기능은 단순히 코드를 스캔하는 것을 넘어, 마치 인간 보안 연구원처럼 코드의 맥락과 데이터 흐름을 이해하고 숨겨진 취약점을 찾아냅니다. 현재 Claude Code Security는 Enterprise 및 Team 요금제 고객을 대상으로 제한된 리서치 프리뷰(Limited Research Preview) 형태로 제공되고 있으며, 오픈소스 프로젝트 메인테이너들에게는 무료로 빠른 액세스(Expedited access) 권한을 부여하여 함께 기능을 다듬어가고 있습니다. 기존의 소프트웨어 보안 테스트에서 널리 사용되는 기존의 자동화된 정적 분석(Static Analysis) 도구들은 주로 '규칙 기반(Rule-based)' 패턴 매칭 방식을 사용합니다. 이는 노출된 비밀번호나 구형 암호화 방식 등 이미 널리 알려진 패턴을 찾는 데는 매우 유용하지만, 비즈니스 로직의 결함이나 망가진 접근 제어(Broken access control)와 같은 복잡하고 문맥 의존적인(Context-dependent) 취약점을 잡아내는 데는 한계가 있습니다. 이로 인해 분석가들은 수많은 오탐(False positives)을 처리하느라 시간을 낭비하게…