기술 요약: Veritas

문제 정의

스트립된 바이너리에서 메모리 손상 취약점 (MCV) 을 탐지하는 것은 근본적인 의미 구조 재구성 과제를 제시합니다. 소스 코드 분석과 달리, 바이너리 분석은 컴파일 및 스트리핑으로 인해 고수준 구조, 객체 경계, 명시적 제어 흐름이 손실된 아티팩트로부터 메모리 객체가 어떻게 할당되고, 전파되며, 제약받고, 함수 간에 접근되는지를 복원해야 합니다.

최근 대규모 언어 모델 (LLM) 기반 접근법은 코드 이해도를 향상시켰으나, 다음과 같은 세 가지 주요 이유로 바이너리 MCV 탐지에는 어려움을 겪습니다:

1. 공유 상태 추적: 취약점은 종종 직접적인 호출 체인 간선이 없는 분리된 함수 간 공유 메모리 영역에 대한 불일치한 가정에서 발생합니다. 표준 호출 그래프 확장은 이러한 의존성을 포착하지 못합니다.
2. 의미 손실: 복원된 표현은 단편화되어 있습니다. 리프트된 LLVM IR 은 저수준 메모리 접근 패턴을 보존하지만, SSA 변수나 캐스팅과 같은 컴파일러 아티팩트에 의해 가려지며, 역컴파일된 C 코드는 고수준 구조를 제공하지만 메모리 연산을 일반화된 오프셋 표현으로 축소시켜 객체 정체성을 지워버립니다.
3. 제약 조건 검증: 정적 분석은 종종 의심스러운 접근이 실현 가능한 경로 조건 하에서 도달 가능한지 결정하지 못합니다. 실행 가능한 증거가 없으면 LLM 은 메모리 민감 연산으로 공격자 제어 데이터가 어떻게 전파되는지에 대한 증명 대신 구문적 프록시에 의존하여 취약한 추론과 높은 오탐률을 초래합니다.

기존의 소스 코드용 에이전트 프레임워크 (요약 또는 호출 그래프 확장에 의존) 는 필수적인 의미 구조가 구성상 부분적으로 부재하는 스트립된 바이너리가 제기하는 의미 복원 문제를 해결하지 못합니다.

방법론

Veritas 는 LLM 추론을 검증 가능한 프로그램 의미와 실행 가능한 행동으로 제한하도록 설계된 하이브리드, 의미 기반 에이전트 프레임워크입니다. 이는 정적 그라운딩(복원된 프로그램 사실) 과 런타임 그라운딩(구체적 실행 증거) 의 두 가지 그라운딩 레이어와 정렬된 세 단계로 분석을 조직화합니다.

1. 의미 기반 컨텍스트 슬라이서 (정적 그라운딩)

슬라이서는 LLM 없이 작동하여 리프트된 LLVM IR 에서 증거로 뒷받침되는 소스 - 싱크 흐름을 추출합니다.

• 함수 간 전파 그래프: 이는 바이너리를 RetDec 를 사용하여 LLVM IR 로 리프트하고, 호출, 반환, 전역 의존성을 인코딩하는 타입이 지정된 함수 간 전파 그래프 ($G_P$) 를 구성합니다. 이 그래프는 오염 관련 값 (포인터, 오프셋, 길이) 이 함수 간에 어떻게 전파되는지 추적합니다.
• 증거 기반 흐름 추출: 모든 도달 가능한 소스 - 싱크 쌍을 의미 있는 것으로 취급하는 대신, 슬라이서는 유한한 함수 간 증명을 검증합니다. 이는 입력 소스 (예: fread) 에서 메모리 위험 싱크 (예: 위험한 API 인수) 로 오염된 토큰을 추적하며, 정의 - 사용 (def-use) 체인과 메타데이터를 사용하여 각 함수 경계에서 전파를 검증합니다.
• 흐름 객체 구성: 승인된 증명은 정렬된 함수, 오염 관련 토큰, 그리고 "앵커 단서"(출처 클래스 및 엔드포인트 주석) 를 포함하는 컴팩트한 흐름 객체로 변환됩니다. 이는 전체 바이너리를 하위 분석을 위한 작고 의미적으로 완전한 컨텍스트로 대체합니다.

2. 듀얼 뷰 취약점 탐지기 (제어된 LLM 추론)

탐지기는 의미 손실을 극복하기 위해 듀얼 뷰 입력 표현을 사용하여 증거로 뒷받침된 흐름에 대해 단계별 추론을 수행합니다.

• 듀얼 뷰 표현: 소스 및 싱크 함수의 경우, LLM 은 제어 흐름 추론을 위한 역컴파일된 C 코드와 메모리 연산 및 싱크 의미를 명확히 하기 위한 리프트된 LLVM IR 을 모두 받습니다. 중간 함수의 경우, 주로 앵커 단서에 의해 안내되는 역컴파일된 코드를 사용합니다.
• 단계별 추론: LLM 은 흐름을 한 번에 하나의 함수씩 분석하며, 전파된 값, 별칭, 경계의 인벤토리를 포함하는 누적 추론 상태를 유지합니다. 이는 전체 흐름을 한 번에 처리하는 컨텍스트 제한을 피하기 위해 할당 및 제어 흐름 결정에 따라 이 상태를 업데이트합니다.
• 트라이 기반 메모이제이션: 중복을 줄이기 위해 시스템은 공유 흐름 접두사에 대한 추론 상태를 메모이제이션하여 흐름의 고유한 접미사에서만 LLM 을 호출합니다.
• 일관성 검사: 후보를 보고하기 전에 탐지기는 오염된 값이 여전히 취약점 관련성을 유지하고, 싱크 접근이 실현 가능한 조건 하에서 메모리 안전을 위반하는지 확인하기 위해 경로 민감한 최종 검증을 수행합니다.

3. 자동 취약점 검증기 (런타임 그라운딩)

검증기는 탐지기 가설을 실행 가능한 확인으로 변환하여 후보를 확인하거나 반박합니다.

• 아티팩트 준비: 이는 Radare2 를 사용하여 탐지기 가설을 실행 좌표 (RVAs, 심볼) 로 매핑하여 역컴파일러 뷰와 런타임 디버깅 간의 간극을 연결합니다.
• 멀티 에이전트 협업: 세 개의 에이전트가 검증을 조율합니다:
  • 전략가: 검증 계획을 수립하고, 계측 대상, 중단점, 그리고 트리거 모드 (파일, 네트워크, CLI) 를 선택합니다.
  • 검증자: 계획을 실행하여 개념 증명 (PoC) 을 생성하고 Radare2 디버거나 Valgrind 메모리 체커 하에서 바이너리를 실행하여 충돌이나 잘못된 접근을 관찰합니다.
  • 탐험가: 초기 증거가 불충분한 경우, 지원 증거를 찾기 위해 대체 상태나 관련 함수를 탐구합니다.
• 확인: 구체적인 런타임 증거 (예: 세그멘테이션 오류, Valgrind 오류, 또는 특정 메모리 상태) 가 보고된 싱크, 접근 패턴, 그리고 근본 원인을 뒷받침할 때만 취약점이 확인됩니다.

주요 기여

1. Veritas 프레임워크: 스트립된 바이너리에서 메모리 손상을 탐지하기 위해 정적 프로그램 분석과 런타임 검증을 통합하는 의미 기반 에이전트 프레임워크.
2. 3 단계 아키텍처:
   • LLM 없이 리프트된 IR 에서 증거 기반 흐름을 추출하는 슬라이서.
   • 의미 모호성을 해결하기 위해 선택적 IR 지원을 사용하여 흐름에 대해 추론하는 듀얼 뷰 탐지기.
   • 디버거에서 볼 수 있는 아티팩트와 구체적인 실행을 사용하여 가설을 확인하는 검증기.
3. 세밀한 벤치마크: 그라운딩 바이너리 탐지를 평가하기 위해 구축된, 20 개의 실제 바이너리 메모리 손상 사례와 트레일 레벨의 그라운드 트루스를 포함한 큐레이팅된 데이터셋.
4. 성능: 평가 결과, Veritas 는 벤치마크에서 90% 재현율을 달성하여 정적 분석기 (0% 재현율), 퍼징 (10% 재현율), 에이전트 베이스라인 (25–35% 재현율) 을 크게 능가했습니다. 623 개의 후보에 대한 포괄적인 검증에서 오탐 0 개를 기록했으며, 더 큰 샘플 감사에서는 2 개의 오탐만 발생했습니다.
5. 실제 발견: Veritas 는 Apple 의 Universal Scene Description 라이브러리 (libusd_ms.dylib) 에서 이전에 알려지지 않은 제로데이 아웃오브바운드 읽기 취약점을 발견했으며, 이는 확인되어 CVE 를 할당받았습니다.

결과 및 의의

이 논문은 LLM 기반 취약점 발견의 효과는 모델의 고유한 능력에만 의존하는 것이 아니라, 추론에 필요한 의미 구조를 복원할 수 있는 주변 인프라의 능력에 달려 있다고 주장합니다.

• 설계 원칙으로서의 의미 그라운딩: 결과는 의미 그라운딩을 운영적 설계 원칙으로 지지합니다. LLM 추론을 명시적인 메모리 관련 사실 (정적 그라운딩) 으로 제한하고 실행 가능한 행동에 대한 결론을 검증 (런타임 그라운딩) 함으로써, Veritas 는 제한 없는 모델 추측의 취약성을 피합니다.
• 베이스라인 대비 우월성: 전통적인 도구는 함수 간 의미 그라운딩 부재로 인해 실패합니다. 에이전트 베이스라인은 메모리 객체 수명 주기에 대한 명시적 모델이 부족하고 안내되지 않은 탐색이나 구문 패턴에 의존하기 때문에 실패합니다. Veritas 는 결정론적 분석을 사용하여 전파를 사전 계산하고 LLM 을 사용하여 복잡한 의미를 해석한 다음 엄격한 런타임 확인을 통해 이 격차를 해소합니다.
• 비용 - 정확도 트레이드오프: 런타임 검증은 PoC 생성과 디버깅이 필요하므로 주요 비용 병목 현상이지만, 이 프레임워크는 실행 가능한 증거를 통해서만 스트립된 바이너리 분석에서 높은 정확도를 달성할 수 있음을 보여줍니다. 시스템은 처리량보다 탐지 신뢰도를 우선시하며, 이는 보안이 중요한 바이너리 분석에 필요한 트레이드오프입니다.

이 논문은 실용적인 바이너리 취약점 탐지를 위해서는 추론이 복원된 프로그램 의미와 실행 가능한 증거 모두에 기반해야 한다고 결론지으며, Veritas 는 모듈식 하이브리드 아키텍처를 통해 이 원칙을 구현합니다.