Zcash 생태계의 AI 보조 보안 감사

Least Authority가 Zcash Community Grants(ZCG)의 요청으로 Zcash 생태계의 보안 핵심 저장소에 대해 AI 보조 보안 감사를 수행하고 방법론과 결과를 공개했다. 목적은 사람이 꼼꼼히 검증한다는 전제 아래 AI 워크플로가 대규모 보안 검토를 얼마나 지원할 수 있는지 탐색하는 것이다. 대상은 zebra, zcash, librustzcash, orchard, halo2 다섯 저장소이며 합의 안전성, 지갑 키 자료, 서비스 거부, 증명 시스템의 soundness 등에 초점을 뒀다.

방법론은 AI 에이전트가 구조화된 프롬프트로 저장소를 탐색해 잠재 이슈(lead)를 공유 표에 기록하고, 사람이 주도하는 분류와 검증을 거치는 방식이다. 처음에는 저장소 전체를 넓게 훑는 전략으로 시작해, 문서·GitHub 이슈·CVE에 기반한 프로젝트별 위협 모델을 추가하고, 특정 공격 시나리오와 선별한 코드 영역에 집중하도록 점차 다듬었다. 각 lead는 중복 여부 확인, 기존 및 새로 만든 적대적 테스트 벡터나 PoC를 이용한 검증 시도, 수동 검토, OWASP 기반 영향·가능성 평가를 거쳤으며 최종 판단은 숙련된 감사자가 내렸다.

Least Authority는 AI 감사 워크플로를 위한 맞춤형 툴킷도 개발했다. 범위, 위협 모델, 실행 로그, lead 추적, 상세 결과를 담는 표준 작업 공간을 제공하고 Claude Code와 Codex 등 다양한 모델과 쓸 수 있으며, 에이전트가 명령을 자유롭게 실행하므로 샌드박싱도 고려했다. 툴킷 저장소는 비공개로 일부 개발자와만 공유했고 이후 공개할 계획이다. 7주 중 2주는 툴킷 개발, 2~3주는 Claude Opus 4.7과 OpenAI GPT 5.4로 lead 수집, 마지막 3주는 분류와 보고서 작성에 썼다.

최종 보고서는 2026년 5월 29일 전달됐다. 확인된 이슈는 zebra 17건(High 5, Medium 8, Low 1, Informational 3), orchard 11건, zcash 10건, librustzcash 7건, halo2 2건(High 1, Low 1)이다. 중간 보고서의 이슈 중 두 건은 Zcash 팀이 이미 비공개 보안 권고로 처리 중이었다. 많은 중복과 오탐을 걸러냈고 개선 여지가 있다. 가치는 자동화 자체보다 구조화된 워크플로, 모델 발전에 따른 지속적 개선, 인간의 보안 전문성의 결합에 있다고 결론짓는다.