기술 요약: 바늘 찾기 (Needles at Scale)

문제 정의

현대적인 폐쇄형 소스 운영체제 취약점 연구의 주요 병목 현상은 개별 함수를 분석하는 것이 아니라, 타겟을 선택하는 것입니다. 현대적인 Windows 이미지는 수백만 개의 함수(즉, "건초더미")를 포함하고 있지만, 그중 극히 일부만이 특정 취약점 클래스와 관련이 있습니다. 심볼릭 실행, 퍼저(fuzzer), LLM 에이전트와 같은 분석 도구들이 발전해 왔지만, 이들은 여전히 자원 집약적입니다. 예를 들어, LLM 에이전트는 올바른 함수를 가리키지 못할 경우 부적절한 코드(예: C-런타임 스타트업 코드)를 분석하는 데 값비싼 컨텍스트 윈도우를 낭비하게 됩니다. 본 논문은 연구 분야가 "이 함수를 분석할 수 있는가?"라는 질문에서 "수백만 개의 함수 중 다음에 분석해야 할 함수는 무엇인가?"라는 질문으로 전환되어야 한다고 주장합니다. 현재 이 선택 과정은 직관, 평판, 그리고 단순한 grep 검색에 의존하고 있으며, 운영체제 전체 범위를 아우르는 확장 가능하고 체계적인 우선순위 지정 기질(substrate)이 결여되어 있습니다.

방법론: 심볼화-풍부화-샘플링 (Symbolicate-Enrich-Sample)

저자들은 생산용 Windows 바이너리 코퍼스를 우선순위가 지정된 연구 큐로 변환하기 위해 설계된 3단계 배치 파이프라인인 Symbolicate-Enrich-Sample을 제안합니다. 이 파이프라인은 저비용이며 재현 가능하도록 설계되었으며, 비공개 소스 코드에 대한 접근 없이도 전체 Windows 이미지에 대해 작동합니다.

1. 심볼화 (Symbolicate)

이 단계는 심볼이 제거된(stripped) 생산용 바이너리(PE 파일)의 심볼 부재 문제를 해결합니다.

• 메커니즘: 파이프라인은 각 바이너리 내의 CodeView (RSDS) 레코드를 파싱하여 PDB (Program Database) GUID와 age를 추출합니다. 그 후 Microsoft의 공개 심볼 서버를 향한 정규 URL을 구성하여, 해당하는 P본 PDB를 가져오고 캐싱합니다.
• 복구: 디컴파일 패스를 통해 함수 집합과 함수 간 호출 그래프(inter-procedural call graph)를 복구합니다. 그 다음 파이프라인은 PDB의 공개 함수 이름을 복구된 함수 주소와 결합합니다.
• API 해상도: 약 20,000개의 Win32/WDK API 프로토타입 카탈로그를 호출된 임포트(imports)에 결합하여 호출 지점(call sites)의 callee 프로토타입을 복구합니다.
• 출력: 명명된 호출 그래프(named call graph)입니다. 공용 이름이 없는 함수들은 합성된 sub_<addr> 엔트리로 남으며, 이후의 풍부화 단계에서는 제외됩니다.

2. 풍부화 (Enrich)

이 단계는 각 명명된 함수에 결정론적 구조적 특징과 LLM이 생성한 레이블을 부착합니다.

• 결정론적 특징: 각 함수에 대해 다음 사항을 계산합니다:
  • Export 상태.
  • 호출자(caller)/피호출자(callee) 수 및 상위 호출자/피호출자의 이름.
  • 위험 관련 API 존재 여부 (예: memcpy, RtlCopy*와 같은 copy/write sink, 풀 할당기, 사용자 포인터 프로브).
  • 기본 블록(basic block) 수 및 크기.
  • 진입점(exports, 디스패치 루틴)으로부터의 너비 우선 탐색(BFS) 도달 깊이.
• LLM 레이블링: 저비용 LLM에 함수 이름, 복구된 callee 프로토타입, 그리고 결정론적 특징들을 프롬프트로 제공합니다. 모델은 단순히 이름뿐만 아니라 이러한 특징들로부터 추론하도록 지시받으며, 다음을 출력합니다:
  • 도달 가능성 계층 (Reachability Tier): (Remote, local-ipc, local-user, admin-only, kernel-internal, library-internal).
  • 위험 수준 (Risk Level): (Critical, high, medium, low, info).
  • 버그 클래스 가설 (Bug-class Hypothesis) 및 근거 (Rationale).
• 최적화: 알려진 런타임/CRT 헬퍼 패턴을 가진 함수들은 규칙에 의해 필터링됩니다 (강제로 library-internal/info로 분류). 이는 불필요한 모델 호출을 피하기 위함입니다. 모델은 원시 디컴파일된 바이트가 아닌, 압축된 구조적 요약본만을 보게 됩니다.

3. 샘플링 (Sample)

이 단계는 풍부해진 코퍼스를 다양하고 우선순위가 지정된 큐로 변환합니다.

• 스코어링: 우선순위 점수는 휴리스틱 공식 priority = w_reach · w_risk · w_conf · bonus를 사용하여 계산됩니다. 보너스 항은 결정론적 증거(예: copy sink를 호출함, export됨)에 보상을 주고, 사소한 스텁(stub)에는 페널티를 부여합니다.
• 샘플링 전략: 우선순위 가중 중요도 샘플러(가중 리저버 알고리즘 사용)를 사용하여 중복 없이 함수를 추출합니다. 이는 연구 세션이 동일한 상위 k개 결과만을 반복해서 반환하는 대신, 고가치의 공간을 다양하게 다룰 수 있도록 보장합니다.
• 유연성: 시스템은 서로 다른 체제를 지원합니다: 광범적인 "퍼징 스타일" 스윕(가중 추출) 또는 타겟팅된 가설 기반 작업(엄격한 필터링과 top-N 선택).

주요 결과 및 평가

이 파이프라인은 5,888개의 서명된 x86-64 Windows 11 바이너리(빌드 10.0.26100) 코퍼스에 적용되었으며, 7,231,419개의 함수를 복구했습니다.

• 심볼 복구: 복구된 함수의 76.8%(5,553,074개)가 공용 PDB 이름을 부여받고 풍부화되었습니다. 나머지 23.2%는 이름이 없는 스텁으로서 풍부화 단계에서 제외되었습니다.
• 선택성 (Selectivity): 레이블링 프로세스는 매우 보수적입니다.
  • 단 **0.18%**의 함수만이 critical로 레이블링되었습니다.
  • 단 **1.83%**만이 remote-facing으로 레이블링되었습니다.
  • 대다수의 함수는 (C++ 예외 메커니즘, 보일러플레이트 코드 등과 같이) 올바르게 library-internal 또는 info로 강등되었습니다.
• 깔때기 효과 (The Funnel): 모델의 레이블을 결정론적 필터(Risk: high/critical AND Reachability: remote/local-ipc AND 메모리 불안전 프리미티브 호출)와 결합함으로써, 탐색 공간을 약 2.5 자릿수(orders of magnitude) 줄였습니다. 즉, 723만 개의 함수에서 **약 22,000개의 함수로 구성된 숏리스트(shortlist)**로 축소했습니다.
• 실패 모드: 저자들은 상위 티어에서 두 가지 체계적인 약점을 식별했습니다:
  1. 과잉 도달 (Over-reach): 필요한 특징 벡터(예: copy/write sink의 부재)가 없는 함수에 특정 버그 클래스(예: use-after-free)를 할당하는 경우.
  2. 도달 가능성 인플레이션 (Reachability Inflation): 호출 그래프의 깊이가 시사하는 바와 달리, 딥 파서(parser)와 같은 함수를 remote로 레이블링하는 경우.
  • 완화 방안: 첫 번째 실패 모드를 완화하기 위해, 모델을 다시 실행하지 않고도 간단한 가드(예: 대응하는 sink 없이 구체적인 copy-class 레이블을 금지함)를 적용하여 이를 방지할 수 있습니다.

의의 및 주장

본 논문은 자신의 기여를 버그 탐지기가 아닌 **선택 기질(selection substrate)**로 명시적으로 규정합니다. 이 논문은 새로운 취약점을 발견했다고 주장하지 않습니다. 대신, 다운스트림 탐지기나 LLM 에이전트가 그 위에서 실행할 수 있는 우선순위 지정 계층을 제공합니다.

• 확장성: 이 파이 \프라인은 LLM이 원시 코드가 아닌 결정론적 구조적 특징에 기반한다면, 수백만 개의 함수 규모에서도 전체 OS 단위의 취약점 연구가 가능하다는 것을 입증합니다.
• 방법론적 전환: 취약점 연구를 순수한 분석 문제에서 정보 검색 및 후보 랭킹 문제로 재정의합니다.
• 데이터 정책: 저자들은 법적 이유(Microsoft 바이너리의 저작권) 및 이중 용도(dual-use) 우려(순위가 지정된 공격 표면 지도를 제공하는 것은 공격자에게 도움이 될 수 있음)로 인해 파생된 데이터셋(함수 수준의 주석)을 공개하지 않습니다. 그러나 방법론은 공개적으로 사용 가능한 Windows 바이너리와 심볼 서버를 사용하여 완전히 재현 가능합니다.

논문은 이 숏리스트가 문제를 다루기 쉽게 만들어 준다는 점은 분명히 하지만, 이 우선순위가 지정된 숏리스트가 정보가 없는 탐색에 비해 실제 버그 발견의 수율을 실제로 개선하는지는 여전히 미해결 과제로 남아 있으며, 이는 캘리브레이션 루프 및 인간 참여 검증(human-in-the-loop verification)을 포함한 향후 연구 과제로 남겨두었습니다.