JetBrains는 .NET 및 JavaScript 프로젝트를 대상으로 OpenGrep 엔진 기반 검사를 통합하여 Qodana 플랫폼의 보안 분석 기능을 확대한다고 발표했습니다. 이번 통합으로 Qodana가 기존에 제공하던 코드 품질, 취약점 탐지, 종속성 분석, Taint Analysis라는 이름의 데이터 흐름 분석 기능에 수백 개의 보안 검사가 추가되며, 팀이 직접 만든 OpenGrep 규칙이나 타사에서 제공하는 규칙도 사용할 수 있습니다.
이번 발표는 Qodana 2026.2 출시 언급과 함께 2026년 8월 17일에 이루어졌습니다. JetBrains는 이번 통합이 개발 및 보안 팀이 별도의 도구와 추가 보고서 및 워크플로를 관리하지 않고도 위험 탐지 범위를 넓히는 것을 목표로 한다고 밝혔습니다.
OpenGrep 검사는 무엇을 추가하는가?
이번 통합은 일반적인 보안 문제 패턴을 대상으로 하는 검사를 추가하며, 실제 결과는 프로그래밍 언어, 프레임워크, 활성화된 규칙에 따라 달라집니다. 발표에서 언급된 범위는 다음과 같습니다.
- SQL 인젝션, 명령어 인젝션, 코드 인젝션을 비롯한 인젝션 취약점.
- Cross-Site Scripting (XSS) 공격 및 경로 우회.
- 서버 측 요청 위조(SSRF).
- 일부 역직렬화 및 리소스 할당 문제.
- Qodana 규칙 세트가 다루는 안전하지 않은 프로그래밍 패턴.
- 지원되는 취약점과 관련된 안전하지 않은 데이터 흐름.
- 내부 API, 프레임워크 및 조직 정책을 위한 사용자 지정 검사.
이 검사들은 기존 Qodana 기능을 대체하지 않고 플랫폼의 자체 정적 분석, 종속성 및 라이선스 검사, 취약점 탐지, 품질 게이트, Taint Analysis와 함께 작동합니다. Qodana는 프로젝트의 JetBrains 포크 버전을 기반으로 빌드된 OpenGrep 바이너리 버전을 사용합니다.
개발 팀에 실질적으로 어떤 변화가 생기는가?
결과는 별도의 보안 도구에 격리되지 않고 기존 Qodana 워크플로에 표시됩니다. JetBrains에 따르면 개발자는 지원되는 통합 개발 환경에서, CI/CD 분석 중에, 그리고 Qodana 보고서에서 결과를 검토할 수 있습니다. 또한 자동화된 품질 게이트를 사용하여 코드를 병합하거나 배포하기 전에 기준을 적용할 수 있습니다.
이는 보안 팀이 검사 범위를 확대하는 동시에 개발자가 하나의 맥락에서 품질 및 보안 문제를 검토할 수 있음을 의미합니다. JetBrains가 발표에서 제시한 맥락에 따르면, 인공지능의 지원으로 생성되는 코드를 포함해 매일 생성되는 코드의 규모가 증가하면서 이러한 점은 특히 중요해지고 있습니다.
언어 및 제공 범위
통합된 OpenGrep 검사는 현재 .NET 및 JavaScript 프로젝트에서 사용할 수 있습니다. JetBrains는 향후 Kotlin 및 Java 지원을 추가할 계획이지만, 발표에서는 그 시점을 정하지 않았습니다. 또한 이용 가능한 기능은 Qodana 버전과 분석 대상 언어에 따라 달라집니다.
JetBrains는 이러한 검사가 확률적 출력이 아니라 특정 규칙에 기반한 정적 분석을 사용한다고 강조합니다. 이 접근 방식은 반복 가능한 검사를 가능하게 하지만, 결과의 정확도는 규칙, 언어 및 사용된 프레임워크와 관련이 있습니다.
투명성 및 성능 측정
JetBrains는 Static Analysis Benchmark Evolution Runner의 약자인 SABER 도구를 통해 Qodana 보안 검사의 성능을 보다 명확하게 측정할 수 있도록 지원하고 있습니다. 이 이니셔티브는 팀이 마케팅 주장에만 의존하지 않고 탐지 기능, 정답 결과 비율 및 오탐률을 평가할 수 있도록 돕는 것을 목표로 합니다.
발표에는 이러한 비교 결과의 구체적인 수치가 제시되지 않았으며, OWASP 및 CWE 적용 범위를 확대하고 더 많은 규칙을 추가하는 작업이 계속되고 있다고 언급되었습니다. 따라서 최종 적용 범위는 Qodana 버전, 언어, 활성화된 규칙 및 검사 대상 코드의 특성에 따라 달라집니다.