# Lagune vs. Deepsec: AI 기반 보안 접근 방식 두 가지 비교

> Lagune과 Vercel의 Deepsec을 작동 방식, 수명 주기, 탐지, 비용, 발견 사항, 종결 관점에서 비교한 참고 문서입니다.

표준 URL: https://lagune.ai/ko-KR/docs/references/deepsec
언어: ko-KR
원문: https://lagune.ai/docs/references/deepsec
마지막 업데이트: 2026-11-03

[Lagune](https://github.com/wellwelwel/lagune)과 [Deepsec](https://github.com/vercel-labs/deepsec)(`v2.2.1`)은 AI를 활용한 개발 시대의 보안이라는 같은 문제에 대한 두 가지 방어적 해답입니다. 메커니즘이 겹치는 부분이 있더라도, 두 프로젝트는 전제도, 처음과 중간과 끝도, 사용자에게 드러나는 모습도 의도적으로 다르게 설계되었습니다.

**팁**

Lagune은 Deepsec에서 영감을 받았나요? 아니요. Lagune은 처음부터 새로 작성한 프로젝트이며, Spec-Driven Development와 Security Hardening에서 영감을 받았습니다. 두 프로젝트는 서로 독립적으로 개발되었고, 이 비교는 사용자가 둘의 차이를 이해하도록 돕기 위한 것입니다.

## 한눈에 보기

| 항목           | Lagune                                                                                    | Deepsec                                                       |
| -------------- | ----------------------------------------------------------------------------------------- | ------------------------------------------------------------- |
| 유형           | 참조 구현을 갖춘 방법론(SDH)                                                              | 제품: 에이전트 기반 취약점 스캐너                             |
| 중심축         | 결정론적 훅을 토대로, 보안 원칙과 필요할 때만 불러오는 지식이 에이전트를 이끄는 구조      | 넓게 친 정규식 그물이 필수 AI 조사로 이어지는 구조            |
| 결과물         | 보안이 강화된 코드, 증명, 추적되는 발견 사항 체인                                         | 심각도순으로 정렬하고 트리아지를 거친 발견 사항 보고서        |
| 코드 수정 여부 | 예: `harden` 단계가 코드를 수정                                                           | 아니요: 정적 분석만 하며, 발견 사항과 권장 사항 텍스트를 출력 |
| 실행 환경      | 이미 쓰고 있는 에이전트와 모델에서 실행, 모델 등급 제한 없음                              | 자체 모델 파이프라인에서 실행, 기본값은 프런티어급 모델       |
| 시작 방법      | 플러그인 한 번 설치 또는 `npx skills add` 실행 후 일상 언어로 지시, 새로 구축할 도구 없음 | `.deepsec/` 워크스페이스 구성, 의존성 설치, 모델 키 추가      |

## 작동 방식

Lagune은 에이전트 우선 방식으로, 에이전트가 작업을 이끌고, 코드의 성격에 맞는 지식을 필요할 때만 불러오며, 판정할 수 있는 부분은 결정론적 훅에 맡깁니다.

Deepsec은 결정론적 처리 우선 방식으로, 넓은 범위의 스캔이 후보를 잡아내면 그 후보가 반드시 거쳐야 하는 모델에게 무엇을 조사하고 판단할지 알려 줍니다.

| 항목                 | Lagune                                                                                              | Deepsec                                                      |
| -------------------- | --------------------------------------------------------------------------------------------------- | ------------------------------------------------------------ |
| 순서                 | 보안 원칙과 코드에 맞는 지식이 에이전트를 이끌고, 에이전트는 일부를 훅에 맡긴 뒤 나머지를 직접 판단 | 매처(matcher)가 후보를 잡아내고, 모델이 후보마다 조사해 판단 |
| 결정론적 처리의 역할 | 판정을 돌려주거나 에이전트가 살필 곳을 짚어 주는 다국어 훅, 카테고리 지식과 함께 사용               | 필수 모델이 판단할 후보를 잡아내는 매처                      |
| 개발 흐름            | 코드를 작성하는 동안 `/lagune` 명령어가 그 자리에서 안전하게 구축                                   | 코드를 검토할 뿐, 작성하지는 않음                            |
| 감사 흐름            | `charter` → `detect` → `plan` → `harden` → `verify`                                                 | `scan` → `process` → `triage` → `revalidate` → `report`      |
| AI의 역할            | 지식을 바탕으로 추론하고, 수정을 적용하고, 그 수정이 실제로 효과가 있는지 증명                      | 모든 후보를 조사하고 발견 사항을 보고                        |

## 수명 주기

Lagune은 코드를 작성하기 전에도, 작성하는 중에도, 작성한 후에도 작동합니다. Deepsec은 코드가 생긴 뒤에 저장소를 검토합니다.

| 시점           | Lagune                                                                    | Deepsec                                                  |
| -------------- | ------------------------------------------------------------------------- | -------------------------------------------------------- |
| 코드가 없을 때 | `charter` 단계가 밝힌 의도를 바탕으로 보안 정책 수립                      | 기존 코드에서 시작: `init` 명령어에 디렉터리 필요        |
| 개발 중        | `/lagune` 명령어가 그 자리에서 기본적으로 안전하게 구축, 남는 산출물 없음 | 개발 중이 아닌 개발 후에 검토                            |
| 기존 코드      | `detect` → `plan` → `harden` → `verify`                                   | 핵심 흐름인 `scan` → `process`                           |
| 지속적인 검토  | 범위별로 단계를 다시 실행, 기본 제공 CI 게이트 없음                       | 증분 재스캔, CI 종료 게이트 역할을 하는 `process --diff` |

## 탐지 계층

두 프로젝트의 결정론적 계층은 성격이 정반대여서, 한쪽은 판정하고 다른 한쪽은 후보를 잡아냅니다.

| 항목      | Lagune                                                             | Deepsec                                                 |
| --------- | ------------------------------------------------------------------ | ------------------------------------------------------- |
| 묶는 방식 | 카테고리별로 묶은 훅과 전문 지식                                   | 패턴이나 프레임워크별 매처                              |
| 출력      | 명시적인 판정(finding / review / advisory)과 분류(classify) 레이블 | 판정 없는 후보(slug, 줄, 코드 조각, 일치한 패턴)        |
| 튜닝      | 정밀도 중심: 주석 인식, 플레이스홀더 가드와 윈도 가드              | 재현율 중심: 넓은 그물, 오탐은 나중에 AI가 걸러 냄      |
| 깊이      | 두 프로젝트가 공통으로 다루는 유형에서 더 깊음                     | 더 넓지만, 공통으로 다루는 유형에서는 덜 깊음           |
| 오탐      | 발생 지점에서 낮게 억제한 뒤 컨텍스트 안에서 판단                  | 의도적으로 많이 만들어 낸 뒤 `revalidate` 과정에서 줄임 |

## 지식과 판단

두 프로젝트 모두 정규식으로는 담을 수 없는 보안 지식을 갖추고 있습니다. 차이는 그 지식이 어디에 있고 누가 다듬을 수 있는지에 있습니다.

| 항목      | Lagune                                                                          | Deepsec                                                        |
| --------- | ------------------------------------------------------------------------------- | -------------------------------------------------------------- |
| 형태      | 편집할 수 있는 Markdown 모듈, 그중 여러 개는 결정론적 훅이 뒷받침               | 짧은 프롬프트와 기술별 요점, 모델 자체의 지식에 의존           |
| 선택 방식 | 코드에 맞는 모듈만 골라, 해당 컨텍스트가 있을 때만 불러옴                       | 모든 AI 배치에 주입, 탐지된 기술의 요점도 추가                 |
| 작성 주체 | 사용자가 모듈을 편집하고, `specialize` 명령어로 새 모듈 추가                    | 프롬프트는 메인테이너가 관리하고, 사용자는 `INFO.md` 파일 작성 |
| 판단 주체 | 훅이 자신이 맡은 최소 기준을 판정하고, 나머지는 에이전트가 지식을 바탕으로 판단 | 중앙 집중형: 하나의 AI 프로세서가 모든 후보를 판단             |
| 재사용    | 하나의 모듈이 `detect` 단계와 `verify` 단계를 모두 안내                         | 하나의 프롬프트가 단 하나뿐인 `process` 단계를 구동            |

## 발견 사항과 종결

두 프로젝트가 가장 크게 갈리는 지점은 해결된 발견 사항이 이후 어떻게 되느냐입니다.

| 항목          | Lagune                                                                                       | Deepsec                                                                   |
| ------------- | -------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------- |
| 심각도        | 노출 정도와 사안의 중대성에 맞춰 조정한 CVSS v4.0 점수                                       | AI가 매긴 심각도와, 악용 가능성과 영향도에 따른 P0 / P1 / P2 트리아지     |
| 판정          | Risk closed, Risk not closed, Cannot tell from the code 중 하나                              | true-positive, false-positive, fixed, uncertain, accepted-risk, duplicate |
| 보존 방식     | 작업 중인 체인은 현재 상태와 대조해 갱신하고, 종결된 발견 사항은 핵심만 정리해 이력으로 남김 | 파일별 추가 전용 기록, 아무것도 삭제하지 않음                             |
| 최종 상태     | 종결 가능: 증명된 발견 사항은 종결되고, 체인은 안정 상태가 될 수 있음                        | 모든 발견 사항을 영구 보관하고, 해결되면 화면에서 숨김                    |
| 이력의 상세도 | 어떤 위험이었는지에 대한 간결한 요약                                                         | 어떻게 수정했는지까지 담은 판정 기록 전체                                 |

## 비용

| 항목               | Lagune                                                                                                                             | Deepsec                                                                                                                                                                                                                  |
| ------------------ | ---------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| 결정론적 최소 기준 | 무료: 훅은 AI도 키도 없이 실행되며, 그 단계에서 이미 판정을 내림                                                                   | 무료: `scan` 명령어는 AI 없이 실행되지만, 그 자체로는 판정을 내리지 않음                                                                                                                                                 |
| 일반적인 비용      | 이미 쓰고 있는 에이전트 비용에 포함: 로컬 모델이면 $0, 이미 이용 중인 요금제라면 그 요금 그대로, API 기반 사용이라면 반복마다 과금 | [파일 100개에서 2,000개 기준 1회 실행에 약 $25에서 $1,200, 규모가 커지면 그 이상](https://github.com/vercel-labs/deepsec/blob/f75a16803ec5250938bacfe41571d929e8564f45/docs/getting-started.md#run-the-ai-investigation) |
| 가장 저렴한 방법   | 무료 로컬 모델을 포함해 어떤 모델로든 사이클을 마무리                                                                              | 더 저렴한 유료 등급도 있지만, 발견 사항을 얻으려면 유료 AI 단계가 필요                                                                                                                                                   |

## 확장성과 거버넌스

각자 상대가 닫아 둔 계층을 열어 둡니다.

| 항목            | Lagune                                                | Deepsec                                     |
| --------------- | ----------------------------------------------------- | ------------------------------------------- |
| 확장 대상       | 모듈을 편집하거나, `specialize` 명령어로 새 모듈 추가 | 매처, 에이전트, 알림 기능, 소유자 정보 추가 |
| 정책 계층       | 보안 원칙이 모든 단계를 규율하며, 버전 관리됨         | 설정은 운영용(매처, 모델, 경로)             |
| 이름으로 재정의 | 다듬은 모듈이 같은 이름의 내장 모듈을 가림            | 매처 slug가 겹치면 사용자의 매처가 우선     |

## 인터페이스

Deepsec은 보안 조직에 전달할 결과물을 만들어 냅니다. Lagune은 실행하는 사람을 위해 실시간 뷰를 보여 줍니다.

| 항목             | Lagune                                                        | Deepsec                                                |
| ---------------- | ------------------------------------------------------------- | ------------------------------------------------------ |
| 사람이 보는 화면 | 체인 전체를 쉬운 말로 보여 주는 로컬 실시간 대시보드          | 보고서, 내보내기, 지표, PR 코멘트 파일과 문서 사이트   |
| 책임 소재        | 관련 파일과 적용된 전문 지식을 드러냄                         | 추천 담당자 지정: 온콜 담당자, 매니저, 커미터          |
| 재현 가능한 증명 | `prove` 명령어가 실행 가능한 테스트와 공개용 보안 권고를 작성 | 설계상 정적 분석에 머물며, 대상을 실행하지 않음        |
| 도구 자체 방어   | 대시보드의 로컬 쓰기 API 보안 강화                            | 신뢰할 수 없는 대상 코드에 맞서 자체 AI 실행 보안 강화 |

## 규모와 배포

| 항목        | Lagune                                                                            | Deepsec                                              |
| ----------- | --------------------------------------------------------------------------------- | ---------------------------------------------------- |
| 설치        | 에이전트의 플러그인이나 **skills** CLI로 받는 명령어 9개, 미리 생성되는 파일 없음 | 자체 패키지와 의존성을 갖춘 `.deepsec/` 워크스페이스 |
| 규모의 방향 | 컨텍스트 하나, 파일 하나부터 프로젝트 전체까지 어떤 범위로든 좁힐 수 있음         | 저장소 전체를 스캔하며, 대규모 모노레포까지 지원     |
| 분산 실행   | 로컬 전용, 유일한 서버는 루프백에 바인딩                                          | 선택적으로 Vercel Sandbox 워커 VM에 분산             |

## 사용자 경험

각 도구가 실행하는 사람을 맞이하는 방식, 즉 첫 실행에 필요한 것과 실행하는 사람이 작업 대상을 겨누는 방법입니다.

### 온보딩

Lagune은 이미 열려 있는 에이전트를 통해 실행됩니다. Deepsec은 먼저 자체 워크스페이스와 모델 접근 권한을 준비합니다.

| 항목                    | Lagune                                                                                    | Deepsec                                                                      |
| ----------------------- | ----------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------- |
| 첫 명령어               | 플러그인 설치 또는 `npx skills add wellwelwel/lagune`, 이후 에이전트에서 `/lagune-*` 실행 | `npx deepsec init` 실행 후 `cd .deepsec`, `pnpm install`, `scan`, `process`  |
| 실행에 필요한 자격 증명 | 별도 키 없음, 지금 쓰는 에이전트를 그대로 사용                                            | 모델 키(예: AI Gateway, 유효 시간 12시간인 Vercel OIDC 토큰, Anthropic 토큰) |

### 지시하기

두 도구 모두 지시를 받습니다. Lagune은 단계마다 입력의 형태를 읽어 냅니다. Deepsec은 같은 조사를 실행할 파일 범위를 좁힙니다.

| 항목          | Lagune                                                                         | Deepsec                                                       |
| ------------- | ------------------------------------------------------------------------------ | ------------------------------------------------------------- |
| 프로젝트 전체 | 입력 없이 실행한 단계는 범위 전체를 스캔                                       | `scan` 명령어와 `process` 명령어가 저장소 전체를 스캔         |
| 일부 범위     | 어떤 단계든 지정한 파일이나 디렉터리로 범위를 좁힘                             | `--files`, `--files-from`, `--diff` 옵션으로 실행 범위를 좁힘 |
| 우려 사항     | 단계의 범위를 사용자가 설명한 우려 사항으로 좁힘                               | 조사 프롬프트는 고정                                          |
| 우선순위 구간 | `harden` 단계와 `verify` 단계의 범위를 치명적, 높음, 중간, 낮음 중 하나로 좁힘 | 발견 사항 레이블은 실행 후에 붙음                             |
| 단일 값       | 훅이 코드 조각, 패턴, URL 하나에 직접 점수를 매김(`--pattern`, `--url`)        | 작업 단위는 파일                                              |

## 자주 묻는 질문

### Lagune은 Deepsec과 무엇이 다른가요?

Lagune은 에이전트 우선 방식으로, 코드를 작성하기 전에도, 작성하는 중에도, 작성한 후에도 작동합니다. 코드를 쓰기 전에는 정책을 정하고, 개발하는 동안에는 그 자리에서 보안을 강화하며, 이미 작성된 코드는 점검하고, 보안을 강화하고, 검증합니다. Deepsec은 결정론적 처리 우선 방식으로, 넓은 범위의 정규식 스캔 결과가 반드시 거치는 프런티어 모델의 조사로 이어지며, 이 조사는 기존 코드를 검토해 발견 사항을 보고할 뿐 코드를 변경하지는 않습니다.

### 둘 중 어느 쪽이든 무료로 실행할 수 있나요?

Lagune은 무료 로컬 모델로 전체 흐름을 $0에 실행할 수 있고, 결정론적 훅은 AI 없이도 판정을 내립니다. Deepsec의 스캔은 무료지만 판정을 내리지 않으므로, 발견 사항을 얻으려면 반드시 유료 AI 단계를 거쳐야 합니다.

### 둘 중 코드를 수정하는 도구가 있나요?

Lagune은 harden 단계에서 코드에 수정을 적용합니다. 반면 Deepsec은 정적 분석만 하므로 코드를 수정하지 않으며, 사람이나 에이전트가 따로 적용해야 하는 발견 사항과 권장 사항 텍스트를 출력합니다.