한 번의 감사가 아닙니다. 하나의 규율입니다.

최신 감사가 다룬 범위

범위, 방법, 한계가 먼저. 에이전트 수는 그다음.

2026년 9월 25일자 최신 코어 감사에서 발췌했습니다. 에이전트 수는 감사가 얼마나 바빴는지를 말해 줄 뿐 얼마나 좋았는지는 말해 주지 않습니다. 그래서 이번 감사가 실제로 한 일을 여기에 적습니다.

코드

고정된 커밋 하나 기준의 코어 패키지(파일 162개, 17,362줄)와, 각 경로가 실제로 동작 중인지 판단하는 데 필요한 게이트웨이 코드.

접근

전체 소스와, 마이그레이션으로 새로 구축한 데이터베이스. 프로덕션 데이터베이스는 아닙니다. 프로덕션 전용 설정은 미검증으로 표시했고, 이후 제가 직접 확인했습니다.

방법

리뷰어 4명이 각자 한 계층씩 전부 읽었습니다. 리드는 모든 발견 사항을 해당 파일과 대조해 다시 읽고, 타이밍이나 패턴에 관한 주장은 모두 직접 실행해 본 뒤에야 인정했습니다.

심각도

HIGH는 실제 운영 경로에서 위기 신호를 놓치거나 서비스 거부가 발생하는 경우, 테넌트 간 유출, 또는 금전 손실을 뜻합니다. Medium은 실패 시 열려 버리는 가드, 근거 없이 생성되는 크레딧, 또는 조용히 누락되는 데이터를 뜻합니다. 모든 발견 사항은 live 또는 latent로도 표시됩니다: 지금 프로덕션에서 도달 가능한지 여부입니다.

이견

리드가 재현하지 못한 발견 사항은 평균에 섞지 않고 제외하거나 미검증으로 표시했습니다.

결과

HIGH 2건, medium 13건. 모두 당일에 수정했고, 각각 이전 코드에서 실패하던 테스트가 있으며, 전체 테스트 스위트를 CI에서 다시 실행했습니다.

다루지 않은 범위

약 7,000줄에 이르는 번역된 안전 문자열의 정확도, 프로덕션 데이터베이스, 웹 서버 설정, 그리고 아직 미해결인 low 등급 발견 사항 17건.

제가 지휘한 AI 리뷰어가 자체 수행한 것이며, 독립적인 제3자 보증이 아닙니다.

주기

라운드마다 거듭 다시 공격했습니다. 아래의 모든 테넌트 간 발견 사항은 고객 신고가 아니라 감사에서 발견되었고, 수정되었습니다.

✓ 모든 라운드에서 핵심 자산 유지, 격리 · 금전 · 거버넌스 · SSRF · 토큰 도메인

실제 사례 중 세 가지

검토 관점은 격리 · 인증 · 인젝션 · 금전 · 거버넌스 · 예약 · 채널 · 자율 레지던트 · 데이터 권리(GDPR/PECR) · 사이트 생성기 · 프런트엔드 · 운영에 걸쳐 있습니다. 매 라운드의 결론: 미해결 critical 0건, 테넌트 격리와 XSS 표면은 이상 없음, 실제로 작동하는 인증 우회 없음: 확인된 모든 엣지 케이스는 수정 후 재배포했습니다.

정직한 수치

모든 수치에 단서가 이미 붙어 있습니다.

대부분의 개발자는 부풀립니다. 저는 실제가 아닌 부분으로 감탄을 사기보다, 실제인 부분을 신뢰받는 편을 택하겠습니다.

이 시스템이 정직한 이유는 설계한 사람이 정직하기 때문입니다. 처음부터 그렇게 되도록 했습니다. 나중에 덧붙인 것이 아니라 설계에 내장했습니다.