Vercel이 Git 푸시 시 자동으로 코드 취약점을 검사하고 수정안을 제시하는 'Security Review' 기능을 Pro/Enterprise 팀을 대상으로 공개 베타 출시했다. 개발자가 보안 검토를 수동으로 진행해야 하는 부담을 AI 에이전트가 대신 하는 형태의 DevSecOps 자동화다.

Security Review는 GitHub 저장소에 코드가 푸시될 때마다 자동으로 발동한다. 풀 리퀘스트뿐 아니라 직접 푸시나 강제 푸시도 감지하며, 한 번의 푸시로 영향받는 모든 프로젝트를 동시 검토한다. 발견된 취약점은 프로젝트·환경·브랜치·커밋 정보와 함께 대시보드에 기록되고, AI가 자동으로 심각도를 평가해 제시한다.

검출된 취약점은 여러 방식으로 대응 가능하다. 가장 간편한 방식은 'Vercel Agent로 수정' 버튼을 클릭하는 것. Vercel Agent가 수정안을 제시하고 풀 리퀘스트를 자동으로 생성하면, 개발자가 검토하고 승인한 뒤 머지한다. 팀이 자체 AI 에이전트를 사용하고 싶다면 CLI 명령어(vercel security vulnerabilities) 또는 마크다운/JSON 형태로 내보낼 수도 있다.

팀별·프로젝트별로 보안 정책을 평문으로 작성할 수 있는 것도 특징이다. 예를 들어 "모든 외부 라이브러리는 CVSS 스코어 5 이상의 취약점이 있으면 블록" 같은 규칙을 설정하면, Security Review가 이를 맥락으로 삼아 더 정확한 검사를 진행한다.

다만 Vercel은 한 가지 한계를 명확히 했다. Security Review는 소스 코드만 분석할 뿐, 실행 중인 애플리케이션(런타임) 취약점이나 침투 테스트는 수행하지 않는다. "취약점을 찾는 데 도움이 되지만, 애플리케이션이 완전히 안전하다는 보장은 아니다"는 설명이다. 결국 코드 정적 분석 범위의 자동화일 뿐, 보안 감시의 전 영역을 커버하는 것은 아니라는 뜻이다.

가격과 무료 기간

Security Review는 Vercel Agent 요금제로 청구된다. 구체적으로는 기초 제공자(OpenAI 등)의 추론 비용 + Vercel Token Rate($0.25/백만 토큰)의 합산이다. Git 푸시마다 검토가 이루어지므로 푸시 빈도와 코드 변경량에 따라 비용이 선형 증가한다.

다행히 11월 10일까지는 보안 검토 기능 자체가 무료다. Vercel Agent로 수정을 자동 생성하는 부분도 Agent 요금으로만 청구되며, 추가 마진은 없다.

Vercel의 AI 에이전트 영역 확대

이 발표는 Vercel의 더 큰 전략 속 한 퍼즐이다. 작년부터 Vercel은 v0(UI 자동 생성)·Vercel Agent(코드 작성)에 주력해왔고, 올해 들어 배포·환경·로그 분석까지 에이전트 범위를 확대했다. 이제 보안 검토까지 추가하면서 "배포 전 전체 단계"를 AI가 관여하는 개발 플랫폼으로 진화시키고 있다.

경쟁 측면에서는 GitHub Copilot Security와의 경합이 의미 있다. Microsoft는 Copilot을 코딩 중심으로 확장했지만, Vercel은 배포·운영·보안까지 "배포 플랫폼 기반"의 AI 자동화를 제시한다. 한국의 스타트업이나 개발팀도 Vercel을 주로 배포 도구로 쓰는데, 이제 개발부터 보안 거버넌스까지 통합된 워크플로우를 제안하는 형태다.

한계는 명확하다. 소스 코드 정적 분석만으로는 실행 환경의 보안 문제를 잡을 수 없다. 또한 보안 정책이 팀마다 다르고 규제 환경이 다르므로, "모든 팀에 맞는 기본 정책"을 만들기 어렵다. 향후 업계별·규제별 템플릿 확대가 과제로 보인다.

Vercel은 팀의 Agent 설정에서 Security Review를 활성화할 수 있으며, CLI는 65.10.0 버전 이상이 필요하다.