앤드류 응이 자신이 만든 오픈소스 데스크톱 에이전트 오픈워커의 신버전을 발표했다. 보안 워크플로를 중심으로 여러 기능을 새로 추가했다. 그가 밝힌 이유는 이렇다. 초기 버전을 공개한 뒤 상당수 사용자가 사이버 보안 작업에서 이 도구가 유독 잘 맞는다는 걸 발견했고, 공격 측이 이미 AI를 쓰고 있는 만큼 방어 측도 같은 수준의 무기를 가져야 한다는 것이다.
오픈워커는 채팅창 방식을 택하지 않는다. 사용자가 작업을 맡기면 에이전트가 스스로 단계를 나누고, 여러 파일과 터미널, 연결된 앱을 넘나들며 작업을 진행한 뒤 바로 쓸 수 있는 결과물을 돌려준다. 이 프로젝트는 7월 MIT 라이선스로 오픈소스화됐고 현재 오픈 베타 단계이며, 깃허브 스타는 이미 1만 6400개를 넘겼다. 데스크톱 버전은 macOS 12 이상(애플 실리콘 지원, 서명·공증 완료)과 윈도우 10/11의 x64 버전을 지원하며, 윈도우 버전의 코드 서명은 현재 진행 중이다.
코드는 물론 의존성까지 스캔한다
신버전에서 최우선으로 배치된 전담 역할은 '보안 검토'다. 저장소 문서에 따르면 이 역할은 두 가지 일을 한다. 결정론적 스캐너와 모델 추론을 결합해 코드베이스와 그 의존성을 모두 훑어 실제 위험을 찾아내는 것이다. 의존성 쪽이 겨냥하는 건 공급망 침투, 즉 서드파티 패키지에 악성 코드가 심어지는 사고다. 최근 1년 사이 오픈소스 생태계에서 이런 사고가 적지 않게 발생했고, 의존성 트리를 사람이 하나하나 검토하는 건 사실상 불가능하다.
수정 단계의 규칙은 한층 더 엄격하다. 문서에는 에이전트가 제시한 수정안이 재스캔과 diff 검토를 거쳐야만 승인된다고 명시돼 있다. 그리고 수정안을 낸 에이전트가 유일한 검증자가 되는 일은 결코 없다.
이 제약이 겨냥하는 건 AI가 자기 숙제를 스스로 채점하는 상황이다. 같은 모델이 패치를 작성하고 그 패치를 판정까지 하면 결과물은 완벽해 보이지만 실제로는 자기 승인일 뿐이다. 자신이 놓친 부분에 대해서는 여전히 눈이 멀어 있기 때문이다. 스캐너 같은 결정론적 도구를 루프 안에 남겨두는 것은 모델 판단에 가차 없는 대조 장치를 하나 더 얹는 것과 같다.
권한은 4단계, 자율성은 쌓아서 얻는다
모든 도구 호출은 네 가지 위험 범주로 분류된다. 읽기(read), 로컬 쓰기(write_local), 명령 실행(exec), 외부 호출(external)이다. 그 위에 다섯 가지 권한 모드가 겹쳐진다. discuss와 plan은 읽기 전용이고, interactive는 기본값으로 쓰기 작업 전에 반드시 확인을 거치며, auto는 제한된 경로 내에서 모든 걸 자동 승인하고, custom은 신뢰하는 특정 도구만 자동 승인으로 설정할 수 있다.
거버넌스 규칙은 3단계 구조로 고정돼 있다.
- 절대 한계선: 위험하고 되돌릴 수 없는 작업은 모드를 어떻게 바꾸든 항상 사람의 몫으로 남는다.
- 점진적 자율성: 모든 동작은 기본적으로 승인이 필요하며, 일회성 승인은 상시 규칙으로 격상될 수 있고, 그보다 더 위에서만 설정된 화이트리스트에 오를 수 있다.
- 감사 기록: 모든 도구 호출은 승인 경로를 기록한다. 자동 승인인지, 사용자 승인인지, 아니면 거부됐는지다.
'무인 실행 중에는 자기 승인 없음'이라는 규칙도 하나 더 있다. 밤새 무인으로 돌아가다 파급력이 있는 작업에 부딪히면, 응답 없는 프롬프트는 검토 대기함으로 넘어간다. 사람이 자리에 없다고 해서 권한이 자동으로 느슨해지지는 않는다.
빅테크의 무기를 노트북 위로 옮기다
지난 1년간 AI가 취약점을 찾아냈다는 뉴스는 대체로 폐쇄형 모델을 가진 대기업 차지였다. 20년 넘은 오래된 버그를 찾아낸 사례도 있고, 한 달 만에 고위험 항목 수만 건을 스캔해낸 사례도 있지만, 모두 각사 최고 성능 모델을 기업용 판매 채널로 제공하는 방식이었고 가격과 접근 문턱 모두 만만치 않았다. 오픈워커는 다른 길을 택했다. 로컬에서 실행되고, 오픈소스이며, MIT 라이선스이고, 코드를 감사할 수 있다는 점이다.
보안팀 입장에서는 '이 도구 자체를 감사할 수 있다'는 사실이 스캔 성능 못지않게 중요하다. 코드베이스 전체를 읽고, 명령을 실행하고, 외부로 요청을 보낼 수 있는 에이전트는 그 자체로 이상적인 정보 유출 통로가 될 수 있다. 이게 블랙박스라면, 찾아내는 취약점이 많을수록 그 도구를 도입하는 것 자체의 위험을 평가하기가 더 어려워진다. 여기서 오픈소스는 태도 표명이라기보다 도입을 위한 전제 조건에 가깝다.
현재 공개된 정보에는 아직 빠진 것이 두 가지 있다. 신버전의 구체적인 버전 번호가 저장소에 표기돼 있지 않고, 스캔 성능이 공개 벤치마크에서 어느 정도의 적중률을 보이는지에 대한 제3자 수치도 아직 없다. CI에 바로 연결하기 전에 격리된 환경에서 몇 차례 시험해보는 편이 안전하다.
참고 출처: 오픈워커 공식 저장소 문서, CocoLoop, MarkTechPost, Help Net Security. 권한 단계, 3단계 거버넌스 구조, 보안 검토 역할은 저장소 설명과 항목별로 대조했다.