이 게시물은 LLM을 이용한 서비스 취약점 분석 자동화 구현과 운영 경험을 정리한 글입니다.

핵심 구성

• MCP 서버로 ctags·tree-sitter 기반 소스코드 인덱싱과 find_references/read_definition/read_source/get_project_structure 도구 제공

정확도 개선

• semgrep 기반 SAST를 취약점 후보(모든 Untrusted Input→Sink 경로) 추출용 보조 도구로 활용

효율화

• SARIF 결과를 JSONL로 다이어트하고 연속 라인 병합으로 토큰 및 시간 절감

운영·확장

• Discovery/Analysis 멀티에이전트 구조로 불필요 경로 축소, Open 모델(Qwen3:30B) 채택과 Pydantic·Instructor로 응답 포맷 안정화 및 중앙 소스코드 인덱싱 서버 방향 제시