💻 computer science

Residual Risk Analysis in Benign Code: How Far Are We? A Multi-Model Semantic and Structural Similarity Approach

이 논문은 취약점 패치된 코드가 여전히 잔존 위험을 가질 수 있음을 지적하며, 코드 언어 모델과 AST 분석을 결합한 '잔존 위험 점수 (RRS)' 프레임워크를 제안하여 패치된 코드의 잔존 위험을 효과적으로 식별하고 우선순위를 지정하는 방법을 제시합니다.

원저자: Mohammad Farhad, Shuvalaxmi Dass

게시일 2026-04-24

📖 3 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Mohammad Farhad, Shuvalaxmi Dass

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

이 논문은 **"소프트웨어의 '패치(수정)'가 정말로 완벽하게 해결된 걸까?"**라는 질문에서 시작합니다.

보통 해커가 발견한 구멍을 막는 '패치'를 적용하면 그 부분은 안전해졌다고 생각합니다. 하지만 이 연구는 **"아니, 그 패치는 구멍만 살짝 막았을 뿐, 여전히 위험한 흔적이 남아있을 수 있다"**고 경고합니다.

이 복잡한 내용을 일상적인 비유로 쉽게 설명해 드릴게요.

🏠 비유: 낡은 집의 '수리'와 '잔재된 위험'

상상해 보세요. 여러분이 살고 있는 **낡은 집 (소프트웨어)**에 **창문이 깨지는 치명적인 결함 (취약점)**이 있었습니다.

일반적인 생각 (기존 방식):
- 집주인 (개발자) 이 깨진 창문에 유리 한 장만 끼워 넣습니다 (패치).
- "오케이, 창문이 고쳐졌으니 이제 안전하다!"라고 생각합니다.
- 하지만 실제로는 창틀이 여전히 녹슬어 있고, 벽이 약한 상태일 수 있습니다. 비가 오면 다시 새거나, 바람에 다시 깨질 수 있죠. 이것이 바로 **'잔재된 위험 (Residual Risk)'**입니다.
이 연구의 새로운 접근 (RRS):
- 연구자들은 "단순히 창문이 고쳐졌는지 보는 게 아니라, 고치기 전과 후의 집 전체가 얼마나 비슷한지를 정밀하게 분석해야 한다"고 말합니다.
- 만약 고친 후의 집이 고치기 전의 집과 구조도, 분위기, 재료까지 거의 똑같다면, 그건 단순히 '창문만 고친 것'일 뿐, 집 전체의 약한 고리는 그대로 남아있을 확률이 높다는 뜻입니다.

🔍 연구팀은 어떻게 이걸 알아냈나요? (3 가지 도구)

이 연구팀은 고친 집 (패치된 코드) 과 깨진 집 (취약한 코드) 을 비교할 때 세 가지 안경을 써서 봤습니다.

1. 의미 분석 안경 (Semantic Similarity)

비유: 두 집의 **'분위기'**를 비교합니다.
"이 집은 따뜻한 느낌을 주나요?" "거실의 용도는 무엇인가요?"를 물어봅니다.
고친 후의 집이 고치기 전과 분위기가 99% 똑같다면, 개발자가 큰 구조를 바꾼 게 아니라 작은 부분만 땜질했을 가능성이 높습니다.

2. 구조 분석 안경 (AST - Tree-sitter)

비유: 두 집의 **'청도 (Blueprint)'**를 비교합니다.
벽이 어디에 있고, 기둥이 어떻게 서 있는지, 계단이 몇 칸인지 등을 자세히 봅니다.
연구팀은 전체 집의 구조를 보는 게 아니라, 수리된 부분 (창문 주변) 만 집중적으로 봅니다. 전체를 보면 비슷해 보일지라도, 수리된 부분의 미세한 구조 변화가 위험을 감추고 있을 수 있기 때문입니다.

3. 여러 전문가의 합의 (Cross-Model Agreement)

비유: 세 명의 다른 건축 전문가에게 두 집을 보여줍니다.
"이 집이 위험해 보이나요?"라고 물었을 때, 세 전문가가 **모두 "아니요, 거의 똑같네요"**라고 말하면, 그 위험은 진짜일 가능성이 높습니다. 만약 전문가들 의견이 제각각이라면, 그건 그냥 우연일 수도 있죠.

📊 연구 결과: 얼마나 위험할까요?

이 세 가지 도구를 합쳐서 **'잔재 위험 점수 (RRS)'**를 매겼습니다.

결과: 고친 코드가 고치기 전과 매우 비슷할수록 (점수가 높을수록), 실제로는 여전히 위험한 구멍이 남아있을 확률이 높았습니다.
숫자로 보면: 고친 코드를 분석했을 때, **약 61%**에서 여전히 13 가지 종류의 새로운 위험 (예: 빈번한 메모리 누수, NULL 포인터 오류 등) 이 발견되었습니다.
의미: "고쳤다"는 표시가 떴다고 안심하면 안 됩니다. **고친 코드가 원래 취약한 코드와 너무 닮아 있다면, 오히려 더 자세히 검사해야 할 '위험 신호'**인 것입니다.

💡 결론: 왜 이 연구가 중요한가요?

지금까지 우리는 "패치가 적용되면 끝"이라고 생각했지만, 이 연구는 **"패치 후에도 숨겨진 위험이 남아있을 수 있으니, 특히 '고친 코드가 원래와 너무 비슷하다'는 신호를 포착해서 다시 한번 꼼꼼히 확인하자"**고 제안합니다.

한 줄 요약:

"창문만 고친 집은 여전히 지붕이 무너질 수 있습니다. 고친 코드가 원래와 너무 닮았다면, 그것은 '완벽한 수리'가 아니라 '잠재적 위험'의 신호일 수 있으니 다시 한번 점검해야 합니다."

이 연구는 소프트웨어 개발자와 보안 전문가들이 **어떤 코드를 먼저 다시 검사해야 할지 (우선순위 매기기)**를 더 똑똑하게 판단할 수 있게 도와주는 나침반이 되어줍니다.

1. 연구 배경 및 문제 정의 (Problem)

배경: 오픈소스 소프트웨어 생태계는 취약점 패치 (patch) 를 통해 지속적으로 업데이트되지만, 패치가 적용된 후에도 코드가 여전히 보안 위험을 내포할 수 있다는 '잔류 위험 (Residual Risk)'에 대한 연구는 부족합니다.
문제점:
- 기존 취약점 벤치마크는 패치된 코드를 단순히 '안전한 (Benign)' 것으로 간주하여, 패치가 모든 논리적/구조적 문제를 해결했는지 확인하지 않는 경향이 있습니다.
- 개발자들은 기능적 수정에 집중하며 광범위한 리팩토링을 피하는 경향이 있어, 패치된 코드가 원본 취약 코드의 의미론적 (semantic) 및 구조적 (structural) 특성을 강하게 유지할 수 있습니다.
- 이러한 '잔류 위험'은 0-day 취약점으로 이어질 수 있으나, 기존 정적 분석 (SAST) 이나 학습 기반 모델은 패치 전후의 함수 의미 변화를 정량화하거나 잔류 위험을 식별하는 데 한계가 있습니다.

2. 제안 방법론 (Methodology)

저자들은 패치된 코드가 취약 코드의 특성을 얼마나 유지하는지를 분석하기 위해 다중 모델 의미 및 구조적 유사성 접근법을 제안합니다.

가. Residual Risk Scoring (RRS) 프레임워크

잔류 위험 점수 (RRS) 는 다음 세 가지 신호를 통합하여 계산됩니다:

의미론적 유사성 (Semantic Similarity):
- CodeBERT, UniXCoder, GraphCodeBERT, CodeT5 등 다양한 사전 훈련된 코드 언어 모델 (Code LMs) 을 사용하여 취약 함수 ( $f_v$ ) 와 패치된 함수 ( $f_b$ ) 의 임베딩을 생성합니다.
- **코사인 유사도 (Cosine Similarity)**를 사용하여 두 함수 간의 의미적 거리를 측정합니다. 높은 유사도는 패치가 기능적 행동을 크게 변경하지 않았음을 시사합니다.
구조적 유사성 (Structural Similarity - Localized AST):
- 전역 트리 편집 거리 (Global Tree Edit Distance, TED) 는 패치로 인한 미세한 변경 사항을 전체 구조의 변화로 과대평가하는 경향이 있어, **국소화된 AST 분석 (Localized AST Analysis)**을 도입했습니다.
- Tree-sitter 를 사용하여 생성된 AST 의 수정된 부분만 추출하여 국소화된 TED (Localized TED) 유사도를 계산합니다. 이는 패치로 인한 실제 구조적 변경을 더 정확하게 포착합니다.
모델 간 합의 (Cross-Model Agreement):
- 여러 모델 간의 유사도 점수 일관성을 측정하여 표현의 불확실성을 줄입니다. 분산이 낮을수록 모델 간 합의가 강함을 의미합니다.

RRS 공식:
$RRS = \alpha \cdot \bar{S}_{sem} + \beta \cdot R_{struct} + \gamma \cdot C_{agree}$
(여기서 $\alpha, \beta, \gamma$ 는 가중치이며, 의미론적, 구조적, 모델 간 합의 신호를 결합합니다.)

나. 실험 설계

데이터셋: PrimeVul 벤치마크의 3,789 개의 취약 - 안전 함수 쌍 (C/C++).
검증 도구: Cppcheck, Clang-Tidy, Facebook Infer 와 같은 최신 정적 분석 도구를 사용하여 고위험 (High-RRS) 코드의 실제 보안 이슈를 검증했습니다.

3. 주요 기여 (Key Contributions)

RRS 프레임워크 제안: 취약 코드의 표현 수준 근접성 (Representation-level proximity) 을 통해 잔류 위험을 정량화하는 최초의 통합 프레임워크를 제시했습니다.
국소적 AST 분석의 우월성 증명: 전역 트리 기반 지표보다 패치로 인한 미세한 구조적 변경을 더 정확하게 포착하는 '국소화된 AST 분석'의 중요성을 입증했습니다.
실증적 유효성 검증: RRS 가 높은 코드가 실제로 정적 분석 도구와 수동 검사를 통해 13 가지 이상의 잔류 보안 문제 (예: 널 포인터 역참조, 메모리 할당 오류 등) 를 포함하고 있음을 확인했습니다.

4. 주요 결과 (Results)

높은 유사성 유지: 패치된 함수들은 의미론적 임베딩 유사도가 평균 0.97~~0.99 로 매우 높게 나타났으며, 구조적 유사성 (LTS) 도 0.82~~0.93 범위로 높게 유지되었습니다. 이는 패치가 대부분 국소적이고 기능적 변화를 최소화한다는 것을 의미합니다.
4 분면 분석 (Quadrant Analysis):
- 제 1 사분면 (High Semantic, High Structural): 약 29.5% 의 코드가 여기에 해당하며, 이는 '잔류 위험'이 가장 높을 가능성이 큰 영역으로 식별되었습니다.
- 단일 신호 (의미론적 또는 구조적만) 에 의존할 경우 위험을 놓치거나 과대평가할 수 있으나, RRS 는 이를 보완하여 더 안정적인 위험 추정이 가능합니다.
정적 분석 도구 검증:
- RRS 가 높은 (High-RRS) benign 함수 중 약 **61%**가 적어도 하나의 정적 분석 도구에서 보안 관련 경고 (메모리 안전 위반, 경계 오류 등) 를 받았습니다.
- 43% 는 두 도구, 27% 는 세 도구 모두에서 경고를 받아 RRS 가 실제 취약점 식별에 유의미한 신호임을 입증했습니다.
- 총 13 가지의 잔류 이슈 카테고리 (널 포인터 역참조, 초기화되지 않은 변수, 메모리 누수 등) 가 확인되었습니다.

5. 의의 및 결론 (Significance & Conclusion)

패치 후 분석의 새로운 패러다임: "패치된 코드는 자동으로 안전하다"는 가정을 재검토하고, 패치 후에도 잔류 위험이 존재할 수 있음을 정량적으로 증명했습니다.
실용적 가치: RRS 는 패치된 코드를 재검토해야 할 우선순위를 정하는 실용적인 지표로 활용될 수 있습니다. 이는 오픈소스 소프트웨어 파이프라인에서 더 신뢰할 수 있고 확장 가능한 보안 평가를 가능하게 합니다.
향후 연구: 다양한 프로그래밍 언어로 확장하고, 동적 분석 (Dynamic Analysis) 을 결합하여 위험 추정을 더 정교화할 필요가 있습니다.

이 논문은 소프트웨어 유지보수 과정에서 패치가 적용된 후에도 발생할 수 있는 숨겨진 위험을 탐지하기 위해 의미론적 임베딩과 구조적 AST 분석을 결합한 혁신적인 접근법을 제시했다는 점에서 의의가 큽니다.