기술 요약: LLM 기반 악성 NPM 패키지 탐지를 위한 코드 슬라이싱 활용

문제 정의

npm 생태계는 탐지를 회피하기 위해 난독화와 복잡한 로직을 사용하는 정교한 소프트웨어 공급망 공격의 표적이 되고 있습니다. 대규모 언어 모델(LLM)은 전통적인 규칙 기반 또는 머신러닝 방식에 비해 코드 분석을 위한 우수한 의미론적 이해력을 제공하지만, 실질적인 제약 사항에 직면해 있습니다. 구체적으로, 표준 LLM의 컨텍스트 창(일반적으로 4K~16K 토큰)은 수백만 개의 토큰을 포함할 수 있는 전체 npm 패키지를 분석하기에는 불충분합니다. 코드를 고정된 크기의 토크 덩어리로 나누는 것과 같은 나이브(naive)한 접근 방식은 코드의 의미론적 문맥을 파편화하고 탐지 정확도를 저하시킵니다. 또한, 전체 패키지를 분석하는 것은 막대한 추론 비용과 지연 시간을 초라하므로, 실시간 레지스트리 모니터링을 불가능하게 만듭니다.

방법론

본 논문은 LLM에 코드를 전달하기 전, 보안 관련 데이터 흐름을 일반적인 보일러플레이트(boilerplate) 코드로부터 분리하기 위해 코드 슬라이싱(code-slicing) 기법을 통합한 LLM 기반 프레임워크를 제래합니다. 이 방법론은 세 가지 주요 단계로 구성됩니다:

1. 민감한 코드 추출 (슬라이싱):
   저자들은 Joern 프레임워크를 사용하여 코드 속성 그래프(CPG)를 생성함으로써 npm 생태계에 적합하도록 테인트 기반(taint-based) 슬라이싱을 변형 적용했습니다. 이들은 세 가지 역할로 분류된 큐레이션된 JavaScript 전용 민감 API 인벤토리를 도입했습니다:

   • 소스(Sources): 신뢰할 수 없는 데이터 입력 (예: process.env, os.userInfo).
   • 싱크(Sinks): 결정적인 실행 지점 (예: child_process.exec, eval, Buffer.from(..., 'base64')).
   • 듀얼(Dual): 소스와 싱크 역할을 모두 수행하는 API (예: 파일 작업, 네트워크 통신).

   두 가지 슬라이싱 전략이 구현되어 비교되었습니다:

   • 정적 슬라이싱(Static Slicing): 광범위한 제어 의존성을 포착하기 위해 제어 흐름 그래프(CFG) 역방향 도달 가능성(backward reachability)을 사용합니다.
   • 테인트 기반 슬라이싱(Taint-based Slicing): 데이터 의존성 그래프(DDG)와 CPG를 사용하여 신뢰할 수 없는 소스에서 결정적인 싱크까지의 데이터 흐름 경로를 추적합니다. 이 접근 방식은 보안 관련 흐름을 구체적으로 타겟팅하여 부수적인 API 호출을 필터링합니다.

   확장성을 보장하기 위해 패키지당 엄격한 3분 제한 시간이 적용됩니다. 빈 슬리스를 생성하는 패키지(주로 동적 코드 생성 또는 난독화로 인해 발생)는 정적 분석 파이프라인에서 제외됩니다.

2. LLM 기반 스코어링:
   추출된 슬라이스는 강력한 코드 이해력, 16K 토큰 컨텍스트 창, 그리고 엄격하게 파싱 가능한 JSON 출력을 생성하는 능력을 갖춘 DeepSeek-Coder-6.7B에 입력됩니다. 모델은 정적 분석 페르소나를 부여받아 각 슬라이스를 악의적 의도로 평가하며, 신뢰도 점수, 난독화 플래그, 그리고 보안 위험 점수($S \in [0, 1]$)를 포함하는 JSON 객체를 반환합니다.

3. 집계 (Aggregation):
   패키지 수준의 최종 분류를 결정하기 위해 보수적인 집계 전략이 사용됩니다. 패키지의 모든 슬라이스 중 가장 높은 악성 점수가 지표로 사용됩니다. 패키지의 점수가 임계값 $\tau = 0.8$을 초과하면 악성으로 분류됩니다.

주요 기여

본 논문은 세 가지 구체적인 기여를 합니다:

1. 슬라이싱 전략의 적응: 저자들은 Joern과 커스텀 JavaScript 전용 API 분류 체계를 활용하여 npm 생태계에 특화된 두 가지 코드 슬라이싱 전략(정적 CFG 기반 및 테인트 기반)을 적응시키고 평가했습니다.
2. 컨텍스트 감소량의 정량화: 본 연구는 컨텍스트 크기의 감소와 보안 관련 정보의 보존 정도를 정량화합니다. 테인트 기반 슬라이싱은 핵심적인 악성 동작을 보존하면서 평균 입력 토큰 수를 99.75%, 중앙값을 93.7% 감소시켰습니다.
3. 성능 평가: 프레임워크는 7,000개 이상의 패키지(정적 분석이 가능한 2,537개로 필터링됨) 데이터셋을 통해 평가되었습니다. 결과는 의미론적으로 타겟팅된 입력 표현이 나이브한 토큰 분할이나 정적 CFG 전용 슬라이싱보다 LLM 기반 탐지 성능을 유의미하게 향상시킨다는 것을 입증했습니다.

결과

DeepSeek-Coder-6.7B를 사용하여 2,537개의 패키지 하위 집합에 대해 평가한 결과, 테인트 기반 슬라이싱 접근 방식은 다음과 같은 성능 지표를 달려 성취했습니다:

• 정확도 (Accuracy): 87.04%
• 정밀도 (Precision): 96.23%
• 재현율 (Recall): 72.90%
• F1 스코어: 83.32%

이 결과는 나이브 토큰 분할 베이스라인(정확도 75.41%, F1 67.80%)과 정적 CFG 전용 슬라이싱 접근 방식(정확도 75.65%, F1 74.21%)을 모두 능가했습니다.

정보 보존 측면에서, 테인트 기반 슬라이싱은 악성 패키지 내 민감 API 특징의 **73.7%**를 유지하는 동시에 약 90%의 양성 코드 세그먼트를 필터링했습니다. 반면, 정적 슬라이싱은 악성 특징의 73.4%만을 유지했으나 훨씬 더 많은 양성의 노이즈를 포함했습니다(양성 패키지 내 민감한 특징의 15.9%를 유지, 테인트 기반은 9.4%).

의의 및 한계

본 논문은 이 접근 방식이 LLM이 방대한 양의 무관한 코드를 처리하는 대신 고밀도의 의미론적 신호에 집중할 수 있게 함으로써, 진화하는 공급망 위협에 대한 효과적이고 계산적으로 실용적인 방어를 제공한다고 주장합니다. 토큰 수의 현저한 감소(평균 ~162k에서 ~403으로)는 표준 하드웨어(RTX 3080 GPU 2개)에서 실시간 또는 준실시간 분석을 가능하게 합니다.

그러나 저자들은 몇 가지 한계점을 명시적으로 인정합니다:

• 생존 편향 (Survival Bias): 보고된 정확도는 비어 있지 않은 슬라이스를 생성한 패키지에만 적용됩니다. 데이터셋 내 악성 패키지의 약 44%는 주로 동적 코드 생성(예: eval, Function()) 또는 정적 데이터 흐름 분석을 깨뜨리는 난독화로 인해 빈 슬리스를 생성했습니다.
• 사전 정의된 API에 대한 의존성: 프레임워크는 큐레이션된 민감 API 목록에 의존합니다. 이는 이전에 발견되지 않은 Node.js 프리미티브를 악용하거나 인벤토리에 없는 간접 호출 체인을 사용하는 새로운 공격 벡터를 탐지하지 못할 수 있습니다.
• 난독화: 현재의 정적 접근 방식은 디오브퓨스케이션(deobfuscation) 전처리 단계 없이 심하게 난독화된 패키지를 처리할 수 없습니다.

저자들은 이 방법이 베이스라인에 비해 탐지 성능을 크게 향상시키지만, 향후 연구에서는 디오브퓨스케이션, 동적 분석 통합, 그리고 더 정교한 회피 기술을 다루기 위한 API 인벤토리 확장이 필요하다고 결론지었습니다.