Argus: Reorchestrating Static Analysis via a Multi-Agent Ensemble for Full-Chain Security Vulnerability Detection

1. 연구 배경 및 문제 정의 (Problem)

현대 소프트웨어 생태계는 CVE(Common Vulnerabilities and Exposures) 와 같은 취약점의 급격한 증가로 인해 심각한 위협에 직면해 있습니다. 기존 정적 애플리케이션 보안 테스트 (SAST) 도구 (CodeQL, Infer 등) 는 주로 규칙 기반의 정적 오염 분석 (Static Taint Analysis) 에 의존합니다. 그러나 이러한 도구들은 다음과 같은 한계를 가집니다:

• 유연성 부족: 새로운 유형의 취약점이나 시스템 고유의 결함을 탐지하는 데 어려움이 있음.
• 높은 오탐률 (False Positives): 복잡한 코드베이스에서 확장성이 떨어지고 의미적 맥락 (Semantic Context) 이 부족함.
• 데이터 흐름 단절: 고급 언어 기능 (리플렉션, 멀티스레딩 등) 으로 인해 오염된 데이터 흐름이 끊겨 실제 취약점을 놓치는 경우가 많음.

최근 대규모 언어 모델 (LLM) 을 활용한 접근법이 제안되었으나, 기존 연구들은 LLM 을 단순히 기존 SAST 도구의 보조 도구로만 사용하거나, 인간 전문가를 대체하려는 시도에 그쳤습니다. 이로 인해 할루시네이션 (Hallucination), 과도한 토큰 사용, 탐지 깊이 부족, 그리고 기존 도구와의 비효율적인 통합이라는 문제가 발생하여 산업 현장에서의 실용성이 떨어집니다.

2. 제안된 방법론: Argus (Methodology)

저자들은 기존 'SAST 도구 중심 + LLM 보조' 구조를 'LLM 중심 + SAST 도구 보조' 구조로 재편성 (Reorchestrate) 한 새로운 프레임워크 Argus (Agentic and Retrieval-Augmented Guarding System) 를 제안합니다. Argus 는 다중 에이전트 (Multi-Agent) 시스템을 기반으로 하며, 다음과 같은 세 가지 핵심 혁신을 포함합니다.

A. 전체 공급망 분석 (Full Supply Chain Analysis)

• 코드 리포지토리를 고립된 실체가 아닌, 의존성 (Dependencies) 과 연결된 공급망의 일부로 간주합니다.
• RAG(검색 증강 생성) 에이전트를 활용하여 프로젝트의 의존성 (예: Maven pom.xml) 을 파싱하고, NVD, OSV, GitHub Security Advisories 등 공식 및 커뮤니티 소스에서 해당 의존성과 관련된 취약점 정보를 검색 및 구조화합니다.
• 이를 통해 알려진 취약점뿐만 아니라, 의존성에서 파생된 새로운 Sink(위험 지점) 를 발견합니다.

B. 협력적 다중 에이전트 워크플로우 (Collaborative Multi-Agent Workflows)

SAST 파이프라인을 여러 에이전트로 분해하여 협력하게 합니다:

1. 의존성 스캐닝 에이전트: 프로젝트 의존성을 분석합니다.
2. 정보 수집 에이전트: CVE 및 관련 이슈를 수집합니다.
3. PoC(개념 증명) 생성 에이전트: ReAct(Reasoning + Acting) 패러다임을 사용하여 취약점의 실행 가능성을 검증하는 코드와 패치를 생성합니다.
4. 데이터 흐름 스캐닝 및 검토 에이전트: CodeQL 엔진과 협력하여 데이터 흐름을 추적하고 검증합니다.

C. Re3 전략 (Retrieval, Recursion, Review)

데이터 흐름 분석의 정확도를 높이기 위해 개발된 새로운 워크플로우입니다:

• Retrieval (검색): CodeQL 을 사용하여 소스 (Source) 에서 Sink 로 가는 경로를 찾습니다.
• Recursion (재귀): 직접적인 전방 분석 (Forward Analysis) 으로 연결되지 않는 경우, 역방향 (Backward) 분석을 통해 Sink 의 상위 함수 호출을 추적하고, 이를 새로운 가상의 Sink 로 간주하여 다시 전방 분석을 수행합니다. 이는 리플렉션 등 복잡한 흐름을 연결합니다.
• Review (검토): LLM 에이전트가 찾은 경로를 최종적으로 검토합니다. 제어 흐름, 예외 처리, 데이터 정제 (Sanitization) 로직이 실제 흐름을 차단하는지 단계별로 분석하여 오탐을 줄입니다.

3. 주요 기여 (Key Contributions)

1. 최초의 LLM 중심 SAST 프레임워크: 기존 도구 중심이 아닌 LLM 에이전트를 핵심으로 하여 공급망 분석, ReAct, RAG 전략을 통합한 최초의 프레임워크입니다.
2. 실제 규모의 평가: 수천만 줄의 코드와 수만 개의 GitHub Star 를 가진 7 개의 산업 수준 오픈소스 프로젝트 (PublicCMS, JeecgBoot, KeyCloak 등) 에서 광범위한 실험을 수행했습니다.
3. 제로데이 (Zero-day) 취약점 발견: Argus 를 통해 기존 도구와 연구에서 발견되지 않았던 새로운 취약점을 다수 발견했으며, 이 중 일부는 실제 CVE 번호를 부여받았습니다.

4. 실험 결과 (Results)

• 탐지 성능: Argus 는 기존 SAST 도구 (CodeQL) 와 LLM 기반 도구 (IRIS) 보다 훨씬 많은 Sink(위험 지점) 와 실제 취약점을 탐지했습니다.
  • 예: PublicCMS 에서 CodeQL 은 0 개, IRIS 는 0 개를 탐지했으나, Argus 는 6 개의 취약점을 발견했습니다.
• 효율성: RAG 기반의 사전 정보 수집을 통해 불필요한 추론을 줄여, 기존 방법 대비 더 적은 토큰 (Token) 소비로 더 높은 탐지율을 달성했습니다.
• 정확도: Re3 전략을 통해 데이터 흐름의 단절을 극복하고, PoC 생성을 통해 발견된 취약점의 실행 가능성을 검증함으로써 오탐률을 크게 낮췄습니다.
• Ablation Study: RAG 에이전트가 발견한 추가적인 Sink 들이 전체 취약점 발견에 결정적인 역할을 했음을 입증했습니다.

5. 의의 및 결론 (Significance)

이 논문은 LLM 을 단순한 보조 도구가 아닌 **보안 분석의 주체 (First-class Citizen)**로 격상시킨다는 점에서 의의가 있습니다.

• 패러다임 전환: "도구 중심"에서 "에이전트 중심"으로 SAST 워크플로우를 재설계하여, 기존 규칙 기반 도구의 한계를 넘어선 심층적인 맥락 추론을 가능하게 했습니다.
• 실용성: 할루시네이션을 줄이고 공급망 취약점까지 포괄적으로 분석함으로써, 실제 산업 환경에 배포 가능한 수준의 자동화된 취약점 탐지 시스템을 제시했습니다.
• 향후 전망: 동적 분석 (Fuzzing) 과의 결합, 강화 학습을 통한 에이전트 미세 조정 (Fine-tuning) 등을 통해 더욱 강력한 보안 솔루션으로 발전할 잠재력을 가지고 있습니다.

요약하자면, Argus는 다중 에이전트 협력과 검색 증강 생성 기술을 결합하여 정적 분석의 정확도와 범위를 획기적으로 개선한 혁신적인 보안 프레임워크입니다.