MetaMask AI 기반 보안 감사 시스템 구축

Consensys Diligence는 MetaMask EIP-7715, MetaMask USD, MetaMask Snaps 등 다양한 협업을 통해 수년간 MetaMask의 보안 여정을 함께해 왔습니다.

특히 Snaps 프로젝트는 이 오랜 협력 관계를 가장 잘 보여주는 사례 중 하나입니다. Diligence의 감사자들은 생태계의 핵심 보안 자료를 다수 제작했습니다. 여기에는 MetaMask Trust Module, 가장 일반적인 Snap 취약점 유형을 분류한 Snaps Security Essentials Guide, 그리고 자동화된 보안 분석을 위한 맞춤형 도구인 Snapguardian이 포함됩니다.

Snaps 관련 작업은 Diligence가 감사에 초기 AI 자동화를 처음 적용한 실험 무대이기도 했습니다. 처음에는 ChatGPT 워크플로우로 시작해 이후 MCP 연결 코딩 에이전트로 발전했습니다. 이 초기 통합이 바로 다음 단계인 Chonky의 토대가 되었습니다.

수동 보안 감사에서 Chonky로

보안 업계 전반에서 AI는 감사 방식을 바꾸고 있습니다. 수십 년간 축적된 감사자들의 지식이 AI 워크플로우로 체계화되고 있으며, 완전 수동 방식에서 AI 기반 감사로의 전환이 본격화되고 있습니다. Diligence가 이 변화를 구현한 결과물이 바로 Chonky입니다.

Chonky는 팀의 최신 AI 강화 감사 방법론으로, 보안 특화 지식 세트, 감사에 최적화된 워크플로우, 이슈 분류 체계를 갖춘 맞춤형 에이전트 하네스입니다. 8년간의 이더리움 보안 전문성을 바탕으로 구축되었습니다. Chonky는 언어에 구애받지 않습니다. Solidity나 특정 감사 대상에 종속되지 않으며, 동일한 방법론이 대규모 애플리케이션 코드베이스, 다른 프로그래밍 언어, zkVM에도 적용됩니다.

확장성 우선을 핵심 설계 원칙으로 삼아 구상된 Chonky는 이더리움 생태계 전반에서 수집한 10만 건 이상의 과거 취약점 발견 사례를 기반으로 합니다. 핵심은 이 보안 지식을 대상의 위협 모델에 매핑하고, 검토 중인 코드베이스에 맞는 맥락별 가설을 생성하는 것입니다. Chonky가 MetaMask 같은 지갑에서 무엇을 찾아야 하는지 아는 이유는, 수년간의 긴밀한 보안 파트너십이 도구 안에 녹아들어 있기 때문입니다. 감사자가 프로세스를 이끌고, Chonky는 그들의 도달 범위와 연구 역량을 확장하는 후보 항목들을 제시합니다.

최근 진행된 작업에서 Diligence의 감사자들은 MetaMask 스택의 두 가지 영역에 Chonky를 활용했습니다. 대규모 스마트 컨트랙트 통합 감사와 Snap 감사입니다.

스마트 컨트랙트 통합의 넓이와 깊이

대규모 코드베이스는 검토 노력과 시간을 신중하게 배분해야 합니다. 감사자들은 Chonky를 방법론으로 활용하되, 각자 선호하는 접근 방식을 선택했습니다. 그 결과 두 가지 상호 보완적인 기법이 도출되었습니다. 너비 우선 취약점 마이닝과 깊이 우선 수동 검토입니다.

취약점 마이닝은 Chonky를 기반으로 구축된 Diligence의 주요 AI 강화 검토 방법입니다. 감사자는 각 작업에 맞게 에이전트를 커스터마이징합니다. 무엇을 찾을지, 어디를 살펴볼지, 어떤 가정을 검증할지를 정의합니다. 이번 작업에서 너비 우선 감사자는 MetaMask 관련 사전 자료를 로드해 다양한 관점에서 후보 발견 사항을 도출했습니다. 에이전트가 후보를 생성하면, 감사자는 이를 분류하여 실제 문제를 확인하고, 거짓 양성을 제거하며, 다음 검토를 정교화합니다. AI가 아직 자체 결론을 신뢰성 있게 검증하지 못하기 때문에, 분류 작업은 감사자의 핵심 역량이자 파이프라인의 중요한 단계가 되었습니다.

마이닝은 원래 감사 범위를 넘어 커버리지를 확장하기도 했습니다. 거짓 양성이 위협 모델 검토의 일부로 전환되었습니다. 후보 이슈가 실제 발견 사항으로 확정되지 않더라도, 의도된 기능과 악용 가능한 동작 사이의 경계를 시험하는 역할을 합니다. 이는 감사자가 올바른 보안 질문을 향해 나아가도록 이끕니다.

깊이 우선 접근 방식은 Chonky의 워크플로우를 다르게 활용했습니다. 통합 코드베이스에 대한 깊은 맥락적 이해를 구축하는 데 먼저 사용되었습니다. 그 토대 위에서 감사자들은 가장 높은 위험으로 표시된 구성 요소를 깊이 있게 파고들었습니다. 각 경우에서 감사자는 자신이 도달할 수 있는 범위를 확장할 수 있는 접근 방식을 선택했습니다.

감사 결과를 개발자 워크플로우에 연결하기

두 번째 작업에서 Chonky는 새로운 MetaMask Snap, 즉 TypeScript 기반 기관용 저장소에 적용되었습니다. 오랜 Snap 감사 이력이 이제 도구 안에 내재되어 있습니다. 달라진 것은 속도입니다. Chonky는 이제 Snaps 프레임워크에 특화된 사전 자료와 반복적인 동작 패턴에 맞게 조정된 범위 설정을 갖추고 실행됩니다.

이번 경우에는 분류 작업이 MetaMask 측으로 이전되었습니다. Diligence의 감사자들은 Snap 코드베이스 감사를 수행하고, 그 결과를 개발자 친화적인 맞춤형 인터페이스로 구성한 뒤, MetaMask의 GitHub 환경에 통합된 분류 워크플로우를 구축했습니다. MetaMask 팀은 기존 개발 프로세스 안에서 발견 사항을 검토하고 대응할 수 있었습니다.

Snaps 생태계에 대한 Diligence의 깊은 친숙함과 Chonky의 확장 가능한 스택이 결합되어, 감사 결과물이 MetaMask의 검토 흐름에 직접 연결될 수 있었습니다. 이 접근 방식은 Snaps를 넘어 확립된 개발 워크플로우를 보유한 모든 팀에 적용할 수 있습니다.

작업마다 더욱 정교해지는 방법론

코드베이스는 점점 커지고 있습니다. 위협 표면은 확장되고 있습니다. 감사자의 역할도 변화하고 있습니다. 새로운 레이어인 분류 단계가 추가되었으며, 이 단계에서 감사자의 판단이 보안 작업을 이끌어 갑니다.

그 결과는 단순히 AI를 코드베이스에 겨냥하는 것을 넘어서는 검토 프로세스입니다. 주어진 시간 안에 수동 검토로는 다룰 수 없었던 각도까지 도달하는 작업입니다. 각 작업은 방법론을 더욱 발전시킵니다. 분류 피드백이 시간이 지남에 따라 Chonky의 지식 기반을 정교화하여, 거짓 양성을 줄이고 탐지 정밀도를 높입니다.

MetaMask에게 이는 동일한 방법론이 소프트웨어 스택 전반에 걸쳐 적용될 수 있음을 의미합니다. 스마트 컨트랙트, Snaps, 그리고 아키텍처를 이미 잘 알고 있는 보안 파트너가 검토하는 기타 영역 모두에서 말입니다.

생태계 보안의 책임을 함께 나누는 것은 매우 중요하며, 이는 web3가 소중히 여기는 탈중앙화 원칙의 정신과도 맞닿아 있습니다. Consensys Diligence는 MetaMask 팀과 함께 이 목표를 향해 나아가고 있음을 자랑스럽게 생각합니다.