구글은 AI 코딩 에이전트가 전체 취약점 수명 주기를 실행할 수 있도록 하는 보안 검토 스킬의 스택 비종속(stack-agnostic) 도구팩인 Mantis를 오픈소스로 공개했다. 이 시스템은 에이전트가 의심되는 결함을 식별하고, 위양성을 제거하며, 샌드박스에서 버그를 재현하고, 최소한의 패치를 작성하고, 해당 패치를 다시 공격하며, 잔여 위험도를 평가할 수 있도록 한다.
Mantis는 독립형 스캐너가 아닌 기존 코딩 에이전트를 위한 슬래시 명령어 집합으로 작동하며, 슈퍼바이저 에이전트를 통해 순차적인 스킬을 연결한다. 주요 단계에는 버전 제어 기록 마이닝, 위협 모델 구축, 계획에 따라 파일 검사, 중복 항목 병합이 포함된다. 파이프라인은 gVisor 또는 VM을 사용한 샌드박스 재현, 익스플로잇 체인 조립, 수정 적용, 사람이 읽을 수 있는 검토 패킷 생성으로 마무리된다.
이 도구팩은 모델의 신뢰도가 아닌 샌드박스 재현 및 패치 재공격에 기반한 신뢰성을 통해, 단순한 AI 코드 스캔에서 7퍼센트 미만인 정양성 비율 문제를 해결한다. 구글은 계층적 요약 트리가 토큰 오버헤드를 85퍼센트 이상 절감했다고 보고했다. Apache 2.0 라이선스 하에 로컬에서 배포하여 평가가 가능하지만, 아직 프로덕션 사용에는 권장되지 않는다.