히스토리

• GitLab 19.1에서 도입되었습니다. 이 기능은 베타입니다.

Security Review 플로는 머지 리퀘스트의 비즈니스 로직 취약점을 탐지합니다. 알려진 패턴을 스캔하는 정적 분석 도구와 달리, Security Review 플로는 코드의 의도를 추론합니다. 인가, 데이터 노출, 제어 흐름에 대한 잘못된 가정에서 비롯되는 취약점을 식별합니다.

Security Review 플로는 GitLab Duo Agent Platform을 기반으로 하는 기반 플로입니다. GitLab Duo 코드 리뷰와 함께 동작하며, 결과를 스레드가 있는 diff 댓글로 게시합니다. 각 댓글에는 CWE 분류, 심각도 등급, 설명이 포함되고, 가능한 경우 한 번의 작업으로 적용할 수 있는 인라인 수정 제안이 포함됩니다.

다음과 같은 경우에 Security Review 플로를 사용합니다.

• 접근 제어 검토: 상태를 변경하는 작업에서 누락되었거나 잘못 구성된 인가 확인을 식별합니다.
• 인가 공백 탐지: 객체 수준 및 기능 수준의 인가 문제를 찾아냅니다.
• 비즈니스 로직 분석: 금융 또는 상태 기반 작업의 경쟁 상태와 같이 악용될 수 있는 애플리케이션 워크플로의 결함을 탐지합니다.
• 정보 노출: 민감한 데이터를 권한 없는 호출자에게 유출할 수 있는 코드 경로를 식별합니다.
• 대량 할당 위험: 사용자 입력에 의도하지 않은 필드를 노출할 수 있는 엔드포인트나 모델을 표시합니다.

사전 요구 사항#

Security Review 플로를 사용하려면 다음이 필요합니다.

• 프로젝트에서 Developer, Maintainer 또는 Owner 권한이 있어야 합니다.
• 최상위 그룹에 대해 Foundational flows와 Security Review를 켭니다.
• 그룹 또는 인스턴스에 대해 GitLab Duo를 켭니다.
• GitLab Duo Pro 또는 Enterprise가 없다면 최상위 그룹 또는 인스턴스에 대해 GitLab Duo Core를 켭니다.
• GitLab Self-Managed에서는 인스턴스에 대해 GitLab Duo를 구성합니다.
• GitLab 18.8 이상에서는 최상위 그룹에 대해 Agent Platform을 켭니다. GitLab 18.7 이하에서는 베타 및 실험 기능을 켭니다.

비용#

Security Review 플로는 리뷰를 수행할 때마다 GitLab Credits를 사용합니다. 크레딧 사용량은 diff의 복잡도와 선택한 모델에 따라 달라집니다.

다음 추정치는 기본 모델에 적용됩니다.

베타 릴리스 기간에는 항상 리뷰를 수동으로 시작합니다. 이렇게 하면 더 넓게 도입하기 전에 코드베이스에서의 일반적인 크레딧 사용량을 평가할 수 있습니다.

Security Review 플로 사용#

리뷰 요청#

머지 리퀘스트를 만든 뒤에는 언제든지 리뷰를 요청할 수 있습니다. 리뷰를 요청하면 플로가 머지 리퀘스트 diff와 그 주변 컨텍스트를 분석합니다.

Duo Security Review 서비스 계정은 Security Review 플로를 켜면 최상위 그룹에 생성되며, 그 안의 모든 프로젝트와 하위 그룹에서 사용할 수 있습니다. 각 서비스 계정 이름에는 연결된 최상위 그룹이 포함됩니다(예: duo-security-review-gitlab-org).

리뷰를 요청하는 방법은 다음과 같습니다.

1. 왼쪽 사이드바에서 Search or go to를 선택하고 프로젝트를 찾습니다.
2. Code > Merge requests를 선택하고 머지 리퀘스트를 엽니다.
3. 오른쪽 사이드바의 Reviewers 섹션에서 Edit를 선택합니다.
4. 검색 상자에 Duo Security Review를 입력하고 목록에서 해당 계정을 선택합니다.

리뷰가 완료되면 플로가 내부 노트를 게시합니다. 이 노트에는 결과와 리뷰 범위가 요약됩니다. 리뷰에서 결과가 나오지 않으면 플로가 내부 노트에 그 사실을 명시합니다.

플로는 각 결과마다 해당 줄에 diff 스레드를 엽니다. 스레드에 답글을 달면(예: 위험을 수용하거나 평가에 동의하지 않는 경우) 플로가 답글을 읽고 그에 맞게 응답합니다. 공개 프로젝트에서는 인라인 diff 댓글 없이 내부 노트에만 결과를 게시합니다. 결과를 비공개로 게시하면 보안 세부 정보가 노출되는 것을 방지할 수 있습니다.

플로는 결과의 심각도에 따라 리뷰어 상태를 설정합니다. 플로는 문제를 찾지 못한 경우에도 Approve 상태를 설정하지 않습니다.

결과에 응답#

히스토리

• GitLab 19.2에서 멘션에 대한 답글 전달 방식이 ai_use_messaging_adapter_for_mentions라는 플래그와 함께 변경되었습니다. 기본적으로 비활성화되어 있습니다.
• GitLab 19.3에서 기능 플래그 ai_use_messaging_adapter_for_mentions가 제거되었습니다.

스레드에서 플로를 멘션하면 결과에 대해 확인 질문을 하거나, 해결 방안을 논의하거나, 결과를 오탐으로 표시할 수 있습니다. 플로는 멘션을 받아도 전체 리뷰를 다시 수행하지 않습니다.

결과에 응답하는 방법은 다음과 같습니다.

1. 왼쪽 사이드바에서 Search or go to를 선택하고 프로젝트를 찾습니다.
2. Code > Merge requests를 선택하고 머지 리퀘스트를 엽니다.
3. 아무 댓글 스레드에서 @duo-security-review를 입력하고 목록에서 Duo Security Review를 선택합니다.
4. 메시지를 추가하고 Comment를 선택합니다.

Security Review 플로는 스레드 컨텍스트를 읽고 바로 답글을 남깁니다.

결과 검토#

Security Review 플로는 정적 분석기가 자주 놓치는 로직 수준의 취약점에 초점을 맞춥니다. 각 결과는 변경된 코드의 diff 스레드로 게시됩니다. 각 스레드에는 다음이 포함됩니다.

• 취약점 유형(CWE)과 MITRE 정의로 연결되는 링크.
• 심각도 등급: critical, high, medium, low.
• 티어 분류: Tier 1(악용 가능), Tier 2(로직 결함), Tier 3(설계 문제).
• 로직 결함에 대한 설명.
• 가능한 경우 수정 제안.

결과에는 다음 CWE 분류가 나타날 수 있습니다.

결과 해결#

결과를 해결하는 방법은 다음과 같습니다.

• 수정을 적용하려면 Apply suggestion을 선택합니다. 제안을 새 브랜치에 커밋하려면 Apply suggestion 옆의 드롭다운 목록을 선택합니다.
• 결과를 검토한 뒤 오탐이거나 수용한 위험이라고 판단했다면 Resolve thread를 선택해 결과를 닫습니다.
• 나중에 해결하기 위해 취약점을 추적하려면 표준 GitLab 스레드 작업으로 결과에서 이슈를 만듭니다.
• 결과의 유용성을 평가하려면 thumbs up 또는 thumbs down을 선택합니다. 이 피드백은 모델을 개선하는 데 도움이 됩니다. 피드백 이슈에 자세한 피드백을 남길 수도 있습니다.

결과를 해결한 뒤 다시 리뷰를 요청하려면 플로를 리뷰어로 다시 지정합니다. 플로는 업데이트된 diff를 분석하고 결과의 상태에 따라 다음 작업을 수행합니다.

• 해결된 결과: 플로가 수정을 확인하고 원래 스레드를 해결 처리합니다.
• 잘못되었거나 불완전한 수정: 플로가 추가로 필요한 변경을 원래 스레드에 알려 줍니다.
• 처리되지 않은 결과: 원래 스레드가 추가 댓글 없이 열린 상태로 남습니다.
• 새로운 결과: 플로가 수정으로 인해 새로 생긴 취약점을 탐지하고 새 댓글 스레드를 만듭니다.

알려진 제한 사항#

Security Review 플로의 출력에 의존하기 전에 다음 제한 사항을 이해해야 합니다.

• 결과는 참고용이며 범위를 보장하지 않습니다. Security Review 플로의 결과는 AI가 생성합니다. 플로가 변경 사항의 모든 취약점을 찾아내지 못할 수 있습니다. 분석은 한정된 검색 및 읽기 예산 안에서 이루어지므로 매우 큰 파일이나 diff는 완전히 검토되지 않을 수 있습니다. 결과가 없다고 보고한 리뷰가 머지 리퀘스트의 안전성을 증명하는 것은 아닙니다.
• 결과에는 오탐이 포함될 수 있습니다. 결과를 최종 판정이 아니라 사람의 판단이 필요한 입력으로 취급합니다.
• Security Review 플로는 다른 도구를 보완합니다. 사람의 보안 리뷰나 SAST 및 GitLab Advanced SAST와 같은 다른 GitLab 보안 도구를 대체하지 않습니다.

문제 해결#

Security Review 플로를 사용할 때 다음과 같은 문제가 발생할 수 있습니다.

플로를 할당할 수 없음#

Duo Security Review 서비스 계정은 Security Review 플로를 켜면 최상위 그룹에 생성됩니다. 서비스 계정 이름에는 최상위 그룹 이름이 포함됩니다(예: duo-security-review-gitlab-org).

Security Review 플로의 상태를 확인합니다.

플로가 결과를 제공하지 않음#

사전 요구 사항을 모두 충족하는지 확인한 뒤 플로가 올바르게 할당되었는지 확인합니다.

• Duo Security Review 계정(사용자 이름이 @duo-security-review-로 시작)을 멘션했는지 확인합니다.
• 최상위 그룹에서 Allow foundational flows와 Code Review 설정이 켜져 있는지 확인합니다.
• GitLab Self-Managed에서는 인스턴스가 GitLab Duo용으로 구성되어 있는지 확인합니다.

플로가 모든 머지 리퀘스트를 리뷰하지 않음#

이 보안 스캔을 실행하려면 머지 리퀘스트에서 플로를 수동으로 트리거해야 합니다. 모든 머지 리퀘스트에서 자동으로 실행되지 않습니다. 플로를 할당했는데 결과가 없다면 플로가 결과를 제공하지 않음을 참조합니다.

플로가 머지 리퀘스트를 리뷰했는데 결과가 없는 보고서는 일반적으로 다음을 의미합니다.

• 보안 문제가 탐지되지 않음: 코드 로직을 분석했으며 취약점이 식별되지 않았습니다.
• 보안과 관련된 로직이 없음: 변경 사항에 보안에 영향을 주는 코드가 없습니다(예: 문서만 변경한 경우).

큰 변경에 대한 참고: 큰 머지 리퀘스트에서는 플로가 한정된 검색 및 읽기 예산 안에서 동작합니다. 이 경우 플로가 결과를 보고하지 않거나, 결과를 출력하더라도 머지 리퀘스트 전체를 다루지 못해 중요한 취약점을 놓칠 수 있습니다. 완료된 리뷰가 전체 범위를 보장하지는 않습니다. 자세한 내용은 알려진 제한 사항을 참조합니다.

제안된 변경이 깔끔하게 적용되지 않음#

제안은 리뷰 시점의 diff를 기준으로 생성됩니다. 리뷰 이후에 새 커밋을 푸시했다면 줄 번호가 달라졌을 수 있습니다. 새 리뷰를 요청하면 현재 diff를 기준으로 한 업데이트된 제안을 받을 수 있습니다.

GitLab Credits 관련 오류를 받음#

인스턴스나 그룹이 현재 청구 기간의 GitLab Credits를 모두 사용했을 수 있습니다. 관리자에게 문의해 크레딧을 추가로 구매하거나, 다음 청구 기간이 시작되어 크레딧이 초기화될 때까지 기다립니다.