0% read
마지막 업데이트:
Cantina
Cantina는 기업 보안 팀을 대신하여 소프트웨어 및 인프라 취약점을 찾고, 우선순위를 정하며, 수정 및 검증하는 자율 인공지능 에이전트를 구축하는 에이전트 기반 보안 기업입니다. 이 사업은 2021년 스마트 컨트랙트 보안 컬렉티브인 Spearbit으로 시작되었으며, 이후 Cantina라는 브랜드의 web3 감사 마켓플레이스를 개발했습니다. 현재는 플로리다주 마이애미에 본사를 둔 Spearbit Labs Inc.라는 법인명으로 운영되고 있습니다.[8] Cantina는 소규모 보안 팀이 "자신들보다 10배 큰 규모의 팀에 상응하는 커버리지를 확보"할 수 있도록 설계된 "에이전트 기반 보안 플랫폼(Agentic Security Platform)"으로 스스로를 마케팅하고 있습니다.[1][2]
개요
Cantina는 보안 검토가 필요한 조직을 전문 감사자 및 팀과 연결한다는 명시된 목표를 가지고 SpearbitDAO의 지원을 받는 web3 보안 플랫폼으로서 2023년에 브랜드 마켓플레이스를 출시했습니다. Medium에 게시된 Johnny Time의 2023년 8월 개요에 따르면, 이 플랫폼은 고객이 팀, 가격, 기간을 선택하여 보안 서비스를 예약할 수 있도록 했으며, 감사가 "집을 사는 것처럼 느껴져서는 안 된다"는 아이디어를 홍보했습니다.[3] 운영의 중심은 프로토콜 검토를 담당하는 감사자 팀으로 정의된 "Guilds"였으며, 이 기사는 이 구조를 경쟁사인 Sherlock 및 Code4rena의 Watson 및 Warden과 비교했습니다.[3] 이 마켓플레이스는 창립자들이 디지털 자산 프로토콜과 smart contracts에 집중하는 보안 연구원 집단을 조직했던 2021년 Spearbit이라는 이름으로 시작된 초기 작업을 기반으로 구축되었습니다.[8]
초기 기간에 Cantina는 두 가지 모델을 제공했습니다. "Cantina Managed" 하에서 회사는 팀을 선택하고 감사 프로세스를 간소화했으며 검토 결과에는 Cantina 로고가 부착되었습니다. "Cantina Guilds" 하에서 고객은 각기 고유한 표준, 요구 사항, 가격 및 브랜딩을 가진 특정 길드를 선택했으며, 이로 인해 길드마다 가격 변동성이 발생했습니다. Spearbit은 마켓플레이스 내에서 틈새 프로토콜 검토에 집중하는 길드로 운영되었으며, Cantina는 많은 제공업체를 아우르는 더 넓은 마켓플레이스로 자리매김했습니다.[3]
이후 회사는 자율 AI agents를 중심으로 스스로를 재구축했으며, 그 기원을 "보안 팀이 경고에 파묻히고, 도구의 확산에 압도당하며, AI 기반 위협과의 싸움에서 패배하고 있다"는 관찰에서 설명했습니다.[4][5] 2026년 7월 30일, Cantina는 Framework Ventures가 주도한 800만 달러 규모의 펀딩 라운드와 함께 스텔스 모드에서 벗어나 출시되었으며, 당시 총 펀딩액은 1,650만 달러에 달했습니다. 이때 취약점 관리 및 해결을 위한 자율 보안 인력으로 묘사되는 커뮤니티 기반 에이전트 보안 플랫폼인 Clarion을 소개했습니다.[9][10][11][12][8] 이후 회사는 자신의 미션을 "보안에 AI를 추가하는 것"이 아니라 "보안이 무엇이 될 수 있는지 재발명하는 것"으로 규정해 왔습니다.[4]
제품
Cantina의 플랫폼은 "모든 에이전트가 공유하는 하나의 보안 두뇌"라고 설명하는 아키텍처를 중심으로 구성되어 있습니다. 회사는 이 시스템이 연결된 모든 도구에 걸쳐 있는 단일 공유 보안 메모리 계층, 작업 및 통합별로 구성된 자율성 정책, 모든 결정에 대한 감사 가능한 로깅, 그리고 수정 풀 리퀘스트(pull request)부터 격리에 이르기까지의 작업 검증을 기반으로 한다고 밝히고 있습니다.[2] 또한 자사의 작업을 4단계 루프(loop)로 제시합니다: 코드, 클라우드, ID 및 엔드포인트 전반에서 실제 상황을 발견(discover)하고; 미세한 신호들을 우선순위화하여 실제 도달 가능한 소수의 신호로 압축(prioritize)하며; 티켓을 발행하는 대신 배포된 변경 사항으로 문제를 해결(fix)하고; 수정 사항이 유지되는지 확인하여 기록상으로 검증(verify)하는 과정입니다.[4] 회사는 플랫폼이 고객의 기존 보안 스택 전반에서 발견 사항, 경고, 신호 및 제출물을 수집하며 GitHub, GitLab, Okta, Auth0, CrowdStrike, Datadog, Splunk, Grafana, Snyk, Sentry, Elastic, Slack, Cloudflare, Jira, Linear, Notion, PagerDuty, Jenkins, Terraform, Kubernetes, Docker, AWS, Azure, Google Cloud를 포함한 도구들과 통합된다고 설명합니다.[2]
Apex
Apex는 Cantina의 자율 침투 테스트 및 취약점 연구 에이전트입니다. 회사의 자체 보고에 따르면 Apex는 "HackerOne US에서 1위"를 차지하고 있으며 Apple, Anthropic, Coinbase 및 기타 조직에서 버그를 발견했다고 주장합니다.[6] 2026년 9월 게시물에서 회사는 자사의 에이전트가 HackerOne의 미국 리더보드에서 2위, 3위, 4위 참가자의 점수를 합친 것보다 더 많은 점수를 얻으며 1위를 차지했다고 주장했습니다.[1] Cantina는 Apex를 사용하여 발견 사항뿐만 아니라 다른 코딩 에이전트를 위한 상세한 수정 지침을 생성하는 데 사용해 왔습니다. 2026년 9월 17일 게시물에서는 52개의 취약점에 대해 4개의 모델을 테스트한 결과를 설명하며, 해당 지침이 주어졌을 때 Claude Opus 5가 "잘못된 수정 사항을 58.3% 적게" 생성했다고 보고했습니다.[1]
Clarion 및 The Brain
Clarion은 텔레메트리를 읽어 에이전트가 접촉하는 자산을 인벤토리화하고 추적하는 플랫폼 구성 요소입니다. Cantina는 Clarion이 Claude Code 텔레메트리를 읽고 "에이전트가 접촉하는 모든 MCP 서버를 감사 및 추적되는 자산으로 전환한다"고 설명하며, 이는 AI 에이전트가 도구와 데이터에 액세스하는 데 사용하는 Model Context Protocol을 참조한 것입니다.[1] 또한 회사는 에이전트가 종속성 경고를 활용할 수 있도록 GitHub의 Dependabot을 Clarion에 통합했습니다.[1] 2026년 9월 말, Cantina는 ID, 장치, 리포지토리 및 클라우드 서비스를 운영 컨텍스트 및 이전 조사 기록과 연결하는 에이전트용 공유 컨텍스트 및 메모리 계층인 "The Brain"을 발표했습니다. 이는 "공유된 컨텍스트와 메모리를 통해 복리로 증대되는 보안 지능"의 토대로 묘사됩니다.[1][6]
apex-flash-1
2026년 10월 1일, Cantina는 보안 연구를 위한 최초의 오픈 웨이트(open-weights) 모델로 설명하는 apex-flash-1을 출시했습니다. 회사는 이 모델이 자사 에이전트가 발견하고 보상을 받은 실제 취약점(HackerOne US 리더보드 1위에 오르게 한 것과 동일한 작업)에 대해 사후 학습(post-trained)되었다고 밝혔습니다. 또한 "자신의 승인된 워크플로우에서 거부 반응이 적기를" 원하는 연구자들을 위해 의도적으로 조정된 "abliterated" 변형 모델도 동시에 출시했습니다.[6][1]
Self-Reported Performance
Cantina는 자사의 성과를 나타내는 여러 수치를 직접 공개하고 있습니다. 회사 소개 페이지에 따르면, Cantina는 200개 이상의 기업을 보호하고, 오탐(false positives)을 98% 제거했으며, 복구 속도를 95% 향상시켰고, 800억 달러 이상의 보안 침해를 예방했다고 명시하고 있습니다.[4] 또한 일반적인 복구 시간을 2분에서 5분 사이로 설명하며, "수천 개의 가공되지 않은 신호들이 실제 문제인 소수의 이슈로 압축되며, 그중 거의 모든 문제는 누군가 확인하기도 전에 해결된다"고 밝히고 있습니다.[2] 이 회사는 자사 제품을 고객이 반복적으로 겪는 세 가지 문제인 "우선순위 없는 대량의 데이터", "도구 및 팀의 무분별한 확산", "해결책 없는 발견"에 대응하는 솔루션으로 규정합니다. 또한 Verizon의 데이터 침해 조사 보고서(2023–2026)를 인용하여, 사고가 실제 침해로 이어지는 비율이 2023년 32%에서 71%로 증가한 반면, 패치된 치명적 취약점의 비율은 2025년 38%에서 26%로 감소했다는 업계 수치를 제시했습니다.[2]
자금 조달
Cantina는 네 차례의 라운드에 걸쳐 총 2,430만 달러의 자금을 조달했다고 보고했습니다. 가장 이른 시기는 2021년 12월에 기록된 150만 달러 규모의 프리시드(pre-seed) 라운드로, 이는 나중에 Cantina 브랜드로 운영된 Spearbit 주도의 스마트 계약 보안 마켓플레이스 개발에 자금을 지원했으며, 이어 2023년 8월에 700만 달러 규모의 시드 라운드가 진행되었습니다.[1][8] 2025년 11월에 780만 달러 규모의 벤처 라운드가 마감되었고, 2026년 7월에는 Framework Ventures가 주도하고 에이전틱(agentic) 보안 플랫폼 출시와 시기를 맞춘 800만 달러 규모의 벤처 라운드가 뒤따랐습니다.[1][9][11] Pulse 2.0의 "Cantina Raises $8 Million Led By Framework Ventures And Launches Agentic Security Platform"을 포함하여 여러 매체가 2026년 7월의 자금 조달 소식을 보도했으며, FinSMEs와 PR Newswire의 보도에서는 해당 자본이 AI 기반 및 커뮤니티 기반의 에이전틱 보안 인력에 자금을 지원하며 당시 총 자금 조달액을 1,650만 달러로 끌어올렸다고 설명했습니다.[1][12]
Research and Disclosures
Cantina는 플랫폼과 병행하여 취약점 연구 및 책임 있는 공개(responsible disclosure)를 수행합니다. 2026년 4월, 이 회사는 XZ Utils의 버그를 공개했으며, 이후 Apex가 해당 압축 유틸리티에서 메모리 안전 결함을 발견했다고 보고했습니다. 회사 측은 이 결함이 수백만 개의 시스템에 영향을 미치며, 공격자가 잘못된 형식의 파일을 통해 애플리케이션을 충돌시키고 지속적인 서비스 거부(DoS)를 유발할 수 있다고 밝혔습니다. 또한 이 버그는 잘 알려진 별개의 XZ 백도어 사건이 발생하기 전까지 14년 동안 코드 속에 "잠들어 있었던" 것으로 특징지었습니다.[1][6]
회사의 2026년 연구 중 상당 부분은 의료 소프트웨어에 집중되었는데, 이는 의료 팀이 FHIR(Fast Healthcare Interoperability Resources) 애플리케이션 프로그래밍 인터페이스를 신속하게 출시하도록 압박하는 2027년 미국 의료보험서비스센터(CMS)의 명령과 연관이 있습니다. Cantina는 Apex를 Pathling에 투입하여 6개의 공개 CVE로 이어진 3개의 고위험 문제를 식별했다고 밝혔습니다. 여기에는 단일 환자로 범위가 지정된 토큰이 권한이 없는 기록에 접근할 수 있는 문제, 공격자의 서버로 유출될 수 있는 자격 증명, 환자 기록이 포함된 노출된 내보내기 파일 등이 포함되었으며, FHIR 엔드포인트를 구축하는 팀에 무료 스캔을 제공했습니다.[1] 2026년 10월, 회사는 Apex가 오픈 소스 전자 건강 기록 플랫폼인 OpenEMR에서 9개의 버그(고위험 2개, 중간 위험 7개)를 발견했다고 보고했습니다. 여기에는 로그인한 환자가 다른 환자의 파일을 검색할 수 있는 결함이 포함되었습니다. 회사 측은 두 개의 고위험 문제가 OpenEMR 8.3.0에서 수정되었으며 나머지 7개는 8.4.0에서 수정되었다고 밝혔습니다.[1]
Cantina는 Apex라는 브랜드의 플랫폼에서 도출된 일련의 데이터를 발표해 왔습니다. 여기에는 612개의 프로덕션 애플리케이션에 걸친 4,032개의 발견 사항에 대한 현장 보고서가 포함되며, 이는 심각도, 도달 가능성 및 취약점 클래스 데이터를 다루는 최초의 실증적 보고서로 설명됩니다. 또한 1,610회의 프로덕션 실행을 통해 인간의 침투 테스트와 비교하여 탐지 성능 및 컴퓨팅 확장을 측정한 벤치마크, 에이전트가 작동하기 전에 MCP 액세스, 권한, 승인 및 ID를 관리하는 방법을 프레임화한 체크리스트, 그리고 벤더 권고 및 수정 세부 정보와 함께 책임감 있게 공개된 일련의 공공 취약점 목록 등이 포함됩니다.[2]
Smart Contract 및 프로토콜 보안
에이전트 플랫폼과 더불어, Cantina는 smart-contract 및 프로토콜 보안 분야의 뿌리를 유지하고 있습니다. 이는 Spearbit의 최고 수준 연구원들과 AI 네이티브 리뷰, 하이브리드 감사, 전문가 트리아지(triage), 그리고 라이브 바운티의 결합을 통해 제공됩니다.[2] 이 회사는 Cantina Competitions를 운영하는데, 이는 정해진 기간 동안 연구원들이 클라이언트의 코드베이스를 검토하고 보상을 위해 경쟁하며, 심사위원이 발견 사항을 점수화하고 우선순위를 정하는 감사 콘테스트입니다.[7] 대회는 일반적으로 코드베이스의 복잡성에 따라 몇 주에서 두 달 정도 지속됩니다.[7]
대회 내에서 연구원들은 개인 또는 팀으로 참여하여 표준화된 형식으로 발견 사항을 제출합니다. 제출물은 영향력과 악용 가능성에 따라 심각도 점수가 매겨지며, 높은 심각도의 이슈가 가장 많은 점수를 얻고 누적된 점수에 따라 상금이 배분됩니다.[7] 기본적으로 평판 점수가 80점 미만인 연구원이 제출한 모든 상(High) 및 중(Medium) 심각도 항목은 대회가 종료되기 전에 코드로 작성된 개념 증명(PoC)을 포함해야 합니다.[7] 연구원은 자신이 발견한 사항에 한해 할당된 심각도에 대해 이의를 제기(escalation)할 수 있으며, 무분별한 이의 제기를 방지하기 위해 부적절한 이의 제기로 판명될 경우 향후 대회 수익 크레딧에서 100달러의 벌금이 차감됩니다.[7]
Cantina는 자사의 web3 플랫폼에서 버그 바운티를 계속 운영하고 있습니다. 2026년 10월, 회사는 Centrifuge 팀으로부터 Centrifuge V3.3의 버그 바운티 범위를 업데이트하는 업무를 수임했다고 발표했으며, 연구원들에게 최대 250,000 USDC의 보상금을 제공합니다.[6]
Leadership and Workforce
Cantina의 리더십은 GitLab, Google, Mandiant, Skype 등에서의 경험을 바탕으로 구성되어 있다고 회사는 밝히고 있습니다. Harikrishnan Mulackal이 공동 창립자이자 최고 경영자(CEO)를 맡고 있으며, 공동 창립자이자 사장인 Mike Leffer는 미국 육군 배경을 가진 사이버 보안 베테랑으로 국방, 보안 운영 및 전략적 리더십 분야에서 10년 이상의 경력을 보유한 것으로 묘사됩니다.[4] 광범위한 경영진에는 보안 연구 책임자 Alireza Arjmand, 시장 진출(Go-to-market) 부사장 Henry Shen, 사장 Mike Leffer, APAC 책임자 Ren Yan Ng, 파트너 성공 리드 James Smith, 기관 시장 진출 리드 Mohammad Rayhan 및 Srinivas Teja, 그리고 창립 시장 진출 운영 파트너 Vivrut Jayaram이 포함됩니다.[1]
310명의 직원 중 Cantina에서 가장 큰 비중을 차지하는 직무는 연구(Research)로, 전체 직원의 약 18%인 55명이며, 그 뒤를 기술, 재무, 마케팅 팀이 잇고 있습니다. 직급별로는 전문가(Specialists) 그룹이 72명으로 가장 많습니다. 인력은 지리적으로 분산되어 있으며, 인도(25명), 미국(21명), 나이지리아(16명)에 가장 많은 직원이 거주하고 있고, 영국, 스페인, 브라질, 프랑스, 캐나다, 가나, 이탈리아 등지에도 소규모 그룹이 있습니다.[1] 이 회사의 채용은 Code4rena, Cyfrin CodeHawks, Spearbit Labs, Sherlock, Immunefi, HackerOne을 포함한 경쟁적 감사(Competitive-audit) 및 버그 바운티 생태계에서 활발하게 이루어집니다.[1]
Customers and Reception
Cantina는 고객 및 파트너사로 Nord Security, GitLab, NVIDIA, Anthropic, Salesforce, Apple, SAP, Coinbase, 그리고 Spring을 보유하고 있습니다.[2] 이 회사는 플랫폼을 사용해 본 보안 리더들의 추천사를 공개하고 있습니다. 최고 정보 보안 책임자인 Matt Mock은 Cantina가 "문제를 발견하는 것부터 수정을 추진하는 것까지 작업을 수행하는 우리가 사용한 최초의 플랫폼"이며, 그의 팀이 "실제 규모보다 훨씬 더 큰 팀처럼 운영될 수 있게 해준다"고 언급했습니다.[2] Coinbase의 Arash Afshar는 "이미 철저한 검토를 거친 내가 관리하는 오픈 소스 암호화 저장소에서 Cantina가 찾아낸 미묘한 버그들"에 대해 설명하며, 이 도구를 "가치 있는 안전망"이라고 평가했습니다.[4]
이 회사는 보안 우선(security-first), AI 네이티브(AI-native), 속도 중심(speed-focused), 인간 중심(human-centered)이라는 네 가지 명시된 가치를 표방하고 있습니다. 이 중 마지막 가치는 에이전트가 노이즈를 처리함으로써 인간 분석가가 대체되는 것이 아니라 중요한 일에 집중할 수 있도록 하는 프레임을 제시합니다.[4] Cantina는 스스로를 "당신의 보안 인력 뒤에 있는 보안 인력"이라고 묘사하며, 자사의 플랫폼을 기존 보안 팀의 대체재가 아닌 보완재로 포지셔닝하고 있습니다.[5][2]
잘못된 내용이 있나요?
