DCVD: Dual-Channel Cross-Modal Fusion for Joint Vulnerability Detection and Localization

기술 요약: DCVD – 결합된 취약점 탐지 및 국소화를 위한 이중 채널 교차 모달 융합

문제 제기
소프트웨어 취약점 탐지는 시스템 보안에 필수적이지만, 실제 세계의 감사에는 두 가지 구별된 역량이 필요합니다: 함수가 취약한지 여부를 판단하는 것 (함수 수준 탐지) 과 구체적인 책임 행을 찾아내는 것 (문장 수준 국소화). 기존 접근 방식은 세 가지 주요 한계를 겪고 있습니다:

1. 단일 소스 의존성: 대부분의 방법은 시퀀스 (토큰), 구조 (그래프), 또는 의미 (LLM) 중 하나의 정보 소스에만 의존하여 이러한 모달리티의 상호 보완적 강점을 활용하지 못합니다. 시퀀스 기반 방법은 구조적 제어 흐름을 놓치고, 그래프 기반 방법은 고수준 의미적 의도를 결여하며, LLM 기반 방법은 종종 제어 흐름 이상을 놓칩니다.
2. 표현 간극: 구조적 특징 (그래프) 과 의미적 특징 (임베딩) 은 서로 다른 데이터 형식과 부분 공간에 존재합니다. 단순한 융합 전략 (예: 연결) 은 이러한 이질적인 표현을 효과적으로 정렬하지 못합니다.
3. 지도 학습 비대칭성: 현재 프레임워크는 종종 주의를 기울이는 가중치를 통해 함수 수준 탐지의 부산물로서 문장 수준 국소화를 처리하며, 명시적인 라인 수준 지도 학습을 사용하지 않습니다. 이러한 직접적인 지도 학습의 부재는 국소화 정밀도를 제한하고 두 세분화 간의 시너지 관계를 활용하지 못하게 합니다.

방법론
저자들은 함수 수준 탐지와 문장 수준 국소화를 공동으로 최적화하도록 설계된 통합 프레임워크인 DCVD(이중 채널 교차 모달 취약점 탐지) 를 제안합니다. 아키텍처는 세 가지 핵심 구성 요소로 구성됩니다:

1. 이중 채널 인코더:

   • 구조 분기: 정적 분석에서 파생된 두 가지 그래프 표현을 처리하기 위해 그래프 주의 네트워크 (GAT) 를 활용합니다. 하나는 구문 계층을 위한 추상 구문 트리 (AST) 이고, 다른 하나는 실행 흐름을 위한 제어 흐름 그래프 (CFG) 입니다. 이 분기는 취약점과 관련된 제어 노드 (예: 경계 확인, 조건부 분기) 를 적응적으로 가중치합니다.
   • 의미 분기: 코드 기능과 잠재적 보안 행동에 대한 자연어 설명을 생성하기 위해 대규모 언어 모델 (LLM) 을 활용합니다. 이러한 설명은 공유 계층을 통해 소스 코드 임베딩과 결합되어 구조적 분석이 놓칠 수 있는 기능적 의도와 API 의미를 포착합니다.

2. 교차 모달 융합:

   • 대조적 정렬: 융합 전에 프레임워크는 대조 학습을 사용하여 구조적 및 의미적 표현을 공유 고차원 공간에 정렬합니다. 이는 두 모달리티 간의 분포 간극을 줄입니다.
   • 양방향 교차 주의: 정렬된 특징은 양방향 교차 주의를 통해 깊은 상호작용을 거칩니다. 구조적 표현이 의미적 특징을 쿼리하고 그 반대가 가능하여, 각 모달리티가 다른 모달리티의 가장 정보 풍부한 요소에 선택적으로 주의를 기울일 수 있게 합니다. 결과적으로 생성된 융합 표현은 장거리 의존성과 교차 라인 컨텍스트를 포착하기 위해 다층 트랜스포머 (GraphCodeBERT) 에 의해 추가 처리됩니다.

3. 다중 세분화 감독자:

   • 이 모듈은 두 수준에서 명시적인 지도 학습을 통해 공동 훈련을 수행합니다:
     • 함수 수준: 분류 분기가 함수가 취약한지 여부를 예측합니다.
     • 문장 수준: 국소화 분기가 특정 행에 대한 취약점 점수를 예측하며, 토큰 수준 점수를 행 수준으로 집계합니다.
   • 전체 손실 함수는 함수 수준 손실, 문장 수준 손실, 그리고 대조적 정렬 손실을 결합하여 두 작업이 서로를 공동으로 최적화할 수 있게 합니다.

주요 기여

• 이중 채널 인코더: GAT 기반 제어 의존성 추출과 LLM 강화 의미 추출을 병렬로 결합하여 다차원 취약점 정보를 포착하는 아키텍처.
• 교차 모달 융합 모듈: 그래프 구조적 특징과 텍스트 의미적 특징 간의 간극을 연결하고 깊은 상호 보완적 융합을 가능하게 하는 대조적 정렬과 양방향 교차 주의를 사용하는 새로운 메커니즘.
• 다중 세분화 감독자: 간접적인 주의 기반 귀속을 넘어 공동 최적화를 달성하기 위해 함수 수준 지도 학습과 함께 명시적인 문장 수준 지도 학습을 통합하는 훈련 프레임워크.
• 경험적 우위: 탐지 및 국소화 작업 모두에서 최첨단 방법보다 일관되게 우수한 성능을 보여줍니다.

실험 결과
실험은 함수 수준 레이블과 문장 수준 주석이 모두 포함된 대규모 실제 C/C++ 취약점 데이터셋인 BigVul에서 수행되었습니다.

• 함수 수준 탐지: DCVD 는 F1 점수 94.84% 및 재현율 92.32% 를 달성하여 가장 강력한 베이스라인 (MatsVD) 보다 각각 +1.03 및 +1.95 만큼 우위를 점했습니다.
• 문장 수준 국소화: 두 단계 및 한 단계 프로토콜 모두에서 DCVD 는 베이스라인 대비 F1 점수를 약 1.25% 에서 2.15% 향상시켰습니다.
• 국소화 순위: DCVD 는 순위 지표를 크게 개선하여 Top-1 정확도 93.80% (MatsVD 의 92.77 대비) 를 달성하고 평균 첫 번째 순위 (MFR) 를 2.46 에서 1.77로 줄여 취약한 행을 상단에 더 정확하게 순위 매기는 것을 나타냈습니다.
• 절제 연구: 구조, 의미, 융합, 또는 다중 작업 감독 중 어떤 구성 요소라도 제거하면 성능이 저하되어, 명시적인 문장 수준 지도 학습이 국소화를 돕는 것뿐만 아니라 함수 수준 탐지도 강화함을 확인했습니다.

의의 및 주장
이 논문은 DCVD 가 단일 소스 모델링과 간접 국소화 전략의 근본적인 한계를 해결한다고 주장합니다. 교차 모달 표현 간극을 효과적으로 연결하고 명시적인 다중 세분화 지도 학습을 도입함으로써, DCVD 는 탐지와 국소화의 공동 최적화를 가능하게 합니다. 저자들은 이 통합 접근 방식이 취약점 존재를 탐지하는 것만큼 취약점을 일으키는 구체적인 코드 행을 식별하는 것이 중요한 실제 세계 보안 감사에 대해 더 강력한 솔루션을 제공한다고 주장합니다. 추가 연구를 촉진하기 위해 코드가 공개되었습니다.