클라우드플레어 코드 감사 스킬, 깃허브 별 6만5600개 — 숫자만으로 보안 효과를 알 수 없는 이유

클라우드플레어(Cloudflare, $NET)가 MIT 라이선스로 공개한 코드 보안 감사 스킬의 깃허브 저장소가 8일 별 약 6만5600개를 기록했다. 저장소 화면에는 별 65.6k개, 포크 4.3k개가 표시됐는데 둘 다 반올림 값이어서 정확한 총량은 화면만으로 드러나지 않는다. 11월 7일 증가량은 집계처마다 갈렸다 — RepoRadar 2088개, RepoTrending 2520개, Ageshio 2548개. Trendshift에 색인된 @trending_repos의 X 게시물은 24시간 증가량을 2088개로 적었지만 같은 페이지의 11월 7일 일별 표에는 1583개가 올라 있었고, 기준 시각과 집계 기간이 같은지는 확인되지 않았다.

도구 자체는 독립형 스캐너가 아니라 코딩 에이전트에 단계별 감사 절차를 건네는 안내서다. 코드 구조와 신뢰 경계, 외부 입력 지점을 살피는 정찰로 시작해 감사 범위를 나눠 취약점 후보를 찾고, 처음 찾은 에이전트와 별도 에이전트가 그 후보를 반박·검증한다. 결과 작성과 별도 검증, 보고서까지 모두 6단계이며 발견 사항은 '확인됨', '추가 검증 필요', '기각됨'으로 나눠 findings.json에 남긴다. 후보를 곧바로 확정 취약점으로 처리하지 않는 구조다. 클라우드플레어는 6월 18일 기술 글에서 약 450줄짜리 이 스킬을 더 큰 탐지 시스템의 출발점으로 소개했고, 자체 시험에서 한 차례 실행이 반복 실행 결과의 약 절반을 찾았다고 밝혔다. 회사 자체 경험이며 독립 기관의 측정값은 아니다.

가상자산 이용자 관점에서 선을 그을 지점은 적용 범위다. 이 저장소는 범용 코드 저장소를 대상으로 하며, 공개 문서에는 스마트계약·지갑·거래소 코드에 적용한 시험 결과가 없다. 즉 '별이 많은 보안 도구를 썼다'는 설명이 특정 서비스의 안전성 근거가 되지 않는다. 실행 조건도 가볍지 않다 — 도구 호출과 병렬 하위 에이전트를 지원하는 코딩 에이전트, 검증기용 Node.js, 그리고 대상 코드의 빌드·테스트·실행을 격리할 운영체제 수준 샌드박스가 필요하다. 샌드박스에는 외부 네트워크 차단, 환경 변수 허용 목록, 자원 제한, 지정 경로 쓰기 허용이 요구되고, 조건이 갖춰지지 않으면 대상 코드를 실행하지 않고 발견 사항을 '추가 검증 필요'로 남긴다.