안전하고 신뢰할 수 있는 코드를 더 빠르게 프로덕션에 배포하도록 돕는 소프트웨어 개발 봇을 오늘 출시합니다.

• Rollouts는 PR부터 프로덕션까지 변경 사항을 지켜보며 회귀를 감지해 알리고, 정상 상태로 되돌리기 위한 조치를 취합니다.
• 보안 리뷰어는 코드베이스의 보안 문제를 찾아내 수정합니다.

#이 기능을 만든 이유

이제 코드 작성은 더 이상 병목이 아닙니다. 여전히 속도가 붙지 않는 건 PR을 올린 이후의 모든 과정입니다. 코드가 안전한지 확인하고, 배포 과정을 지켜보고, 지연 시간 증가가 실제 문제인지 판단하고, 열한 개의 변경 사항 중 어느 것이 체크아웃을 망가뜨렸는지 찾아내는 일 말이죠.

이런 작업은 어렵고 반복적이며, 많은 컨텍스트가 필요합니다. 딱 봇이 맡아야 할 일 아닌가요?

저희는 자율 주행 코드베이스를 향해 나아가고 있다고 말해 왔습니다. Rollouts와 Security Review는 모든 소프트웨어 팀이 전문성과 시간만 충분하다면 더 잘하고 싶어 하는 일반적인 작업을 자율적으로 처리합니다.

#Rollouts

Rollouts는 PR이 열리는 순간부터 변경 사항이 프로덕션에서 제대로 동작한다고 확신할 수 있을 때까지 변경 사항을 추적합니다.

소스 제어, 배포 시스템, 텔레메트리(Datadog, Grafana, Honeycomb 등 메트릭과 트레이스가 저장된 곳)를 연결하세요. 머지 전에 Rollouts가 diff를 읽고 모니터링 플랜을 작성합니다. 이 플랜에는 Rollouts가 파악한 위험 요소, 변경 사항으로 기대되는 효과, 그리고 현재 계측만으로는 변경 사항이 제대로 동작했는지 알 수 없는 부분이 담깁니다. 빠진 내용이 있다면 플랜을 수정하세요.

배포 후에는 Rollouts가 플랜에 포함된 신호를 배포 이전 기준선과 비교합니다. 회귀를 찾아내면 어떤 변경 사항이 원인으로 의심되는지, 어떤 조치를 취할 계획인지 알려줍니다. 설정에 따라 작성자에게 알림을 보내거나, 점진적 롤아웃을 일시 중지하거나, 승인 대기 중인 되돌리기 PR을 생성합니다.

현재 특히 잘하는 세 가지:

• 전역 알림이 울리기 전에, 특정 리전의 특정 엔드포인트에서만 발생하는 회귀를 잡아냅니다
• 의도된 효과와 회귀를 구분하므로, 의도적으로 발생한 급증 때문에 누군가 호출되는 일이 없습니다
• 잘못된 변경 사항을 놓치게 되는 가장 흔한 원인인 계측 누락을 머지 전에 짚어냅니다

출시 예정: Rollouts가 트래픽을 직접 늘리거나 줄일 수 있도록 하는 기능 플래그 통합, 그리고 릴리스 트레인과 배포 동결을 인식하는 기능이 추가될 예정입니다.

#보안 리뷰어

보안 리뷰어는 모든 PR에서 실행되며, 전체 코드베이스의 컨텍스트 안에서 변경 사항을 읽고 발견한 취약점을 설명 및 수정 제안과 함께 보고합니다.

정적 분석은 패턴 매칭에 의존합니다. SQL 호출 근처의 문자열 연결은 빠짐없이 플래그로 표시하면서도, 리팩터링 이후 더 이상 실행되지 않게 된 인가 검사는 놓칩니다. Security Review는 보안 엔지니어처럼 코드를 읽습니다. 사용자 입력이 어디로 들어와 최종적으로 어디에 도달하는지, 그 과정에서 무엇을 거치는지 살펴봅니다.

기본적으로 다음 항목을 찾아냅니다:

• SQL, 명령어, 템플릿, LDAP 전반의 인젝션
• 새로 추가되거나 변경된 라우트의 인증 및 인가 누락 또는 결함
• 소스에 커밋된 시크릿과 자격 증명
• 안전하지 않은 역직렬화와 검증되지 않은 리디렉션
• 알려진 취약점을 끌어들이는 의존성 변경
• 인프라와 구성의 안전하지 않은 기본값

각 발견 사항에는 심각도, 공격 경로, 원클릭 수정 기능이 함께 제공됩니다.

#시작하기

Rollouts와 보안 리뷰어는 현재 Teams 및 기업 플랜에서 이용할 수 있습니다. 자동화 탭에서 두 봇 중 하나를 활성화하여 바로 시작해 보세요.