Krisp가 보안 코드 리뷰에 Hacktron을 선택한 이유

“Hacktron은 영향이 분명하고 수정 방법까지 제시된, 실제로 악용 가능한 보안 문제에 집중합니다.

“배포 전 PR에서 가치 높은 발견 사항을 꾸준히 찾아내 주어, 분류에 쓰는 시간은 줄이고 실제 위험을 고치는 데 더 많은 시간을 쓸 수 있습니다.”

Davit Karapetyan
제품 보안 엔지니어

Krisp 소개

Krisp는 노이즈 제거, 억양 변환, 실시간 전사, AI 회의 요약으로 개인과 기업을 돕는 실시간 Voice AI 플랫폼입니다. 전 세계의 컨택 센터, 회의 도구, 음성 AI 개발자 플랫폼에서 Krisp 제품을 사용합니다.

2억 대가 넘는 기기에 배포되어 매달 800억 분 이상의 음성 대화를 처리하는 Krisp는 글로벌 규모로 운영됩니다. 그만큼 보안은 Krisp와 고객 모두에게 최우선 과제입니다.

과제: AI 시대, 개발 속도에 맞춘 보안

여느 보안 팀처럼 Krisp도 대량의 알림을 쏟아내는 기존 SAST 도구에 의존했습니다. 그중 대부분은 악용할 수 없는 것이었습니다. 실제 위험은 노이즈에 묻혔고, 분류는 그 자체로 시간을 잡아먹는 별도의 업무가 되었습니다.

엔지니어링 팀이 AI로 소프트웨어 개발 속도를 높이기 시작하면서, Krisp에는 엔지니어링 팀의 속도를 늦추거나 코드 배포 방식을 바꾸게 하지 않고도 개발 초기에 의미 있는 취약점을 찾아낼 방법이 필요했습니다.

해결책: SDLC에 AI 네이티브 보안 워크플로 도입

Krisp는 Hacktron Review를 GitHub 워크플로에 직접 통합해, 엔지니어의 기존 작업 방식은 그대로 둔 채 풀 리퀘스트 리뷰 과정에 보안을 더했습니다.

Hacktron은 코드 변경 사항을 따로 떼어 스캔하는 대신, 애플리케이션별 위협 모델과 전체 코드베이스 컨텍스트를 바탕으로 각 풀 리퀘스트를 리뷰합니다. 변경 사항이 애플리케이션 전체에서 어떤 자리에 있는지 이해하기 때문에, Hacktron은 그 변경이 실제로 악용 가능한지 추론할 수 있고, 기존의 패턴 기반 스캐너가 애초에 찾도록 설계되지 않은 비즈니스 로직 결함, 깨진 보안 가정, 다단계 취약점을 찾아낼 수 있습니다.

발견 사항은 영향받는 코드에 인라인으로 게시되며, 이슈 재현 단계, 도달 가능성 추적 정보, 수정 가이드가 함께 제공됩니다. Krisp 엔지니어는 알림이 진짜인지 논쟁하는 대신 몇 분 만에 악용 가능성을 확인할 수 있습니다.

결과: 더 강한 보안, 더 적은 노이즈

배포 후 첫 4주 동안 Hacktron은 Krisp가 여러 취약점을 프로덕션에 도달하기 전에 찾아 해결하도록 도왔으며, 이슈가 탐지된 뒤 해결까지는 평균 8일이 걸렸습니다.

Krisp 보안 팀은 GitHub 분류 댓글, Hacktron MCP, Hacktron API를 사용해 일주일 만에 300건이 넘는 발견 사항을 분류했습니다. 오탐이나 위험 수용으로 처리한 항목마다 이유를 남겼고, 이 정보는 Krisp 코드베이스에 대한 Hacktron의 위협 모델에 바로 반영되었습니다. 시간이 지나면서 이 피드백은 Hacktron이 Krisp의 아키텍처, 보안 통제, 위험 허용 범위를 더 잘 이해하도록 도와, 오탐을 줄이고 발견 사항의 품질을 높입니다.

Krisp처럼 복잡한 시스템에서는 보안 게이트와 보안 프리미티브가 여러 저장소와 애플리케이션에 걸쳐 있는 경우가 많습니다. Hacktron Review는 자체 분석과 Krisp 팀의 직접적인 피드백을 결합해 Krisp의 통제에 대한 이해를 계속 넓혀 가면서, Krisp가 높은 신호 대 잡음비를 달성하도록 도왔습니다.