기술 요약: 보안 ML 모델 실행을 위한 라이프사이클 인식 동적 분석

문제 정의

사전 학습된 머신러닝(ML) 모델의 급격한 도입은 모델 아티팩트(예: .pt, .keras, .h5) 내에 악성 동작이 임베딩될 수 있는 소프트웨어 공급망 취약점을 생성했습니다. 전통적인 소프트웨어와 달리, 이러한 아티팩트는 표준 코드 검사를 우회하여 ML 프레임워크에 의해 직접 로드되고 실행되는 경우가 많습니다.

현재의 방어 메커니즘은 다음과 같은 상당한 한계에 직면해 있습니다:

• 정적 분석 (Static Analysis): 기존 스캐너는 정적, 포맷 특정 규칙이나 알려진 공격 시그니처(예: 특정 Pickle opcode 또는 Lambda 레이어)에 의존합니다. 이러한 접근 방식은 다양한 파일 형식, ML 프레임워크(PyTorch, TensorFlow, Keras) 및 새로운 공격 기법 전반에 걸쳐 일반화되는 데 어려움을 겪습니다.
• 반응적 성격 (Reactive Nature): 방어 체계는 주로 알려진 패턴을 탐지하는 데 집중되어 있어, 이전에 탐색되지 않은 프레임워크 기능을 악용하거나 합법적인 API를 남용하는 새로운 공격을 식별하는 데 실패합니다.
• 정밀도-재현율 트레이드오프 (Precision-Recall Trade-off): 정적 스캐너는 복잡한 구조를 가진 양성 모델을 오탐지(False Positive)하거나, 새로운 익스플로잇을 놓치는 미탐(False Negative) 현상이 빈번하게 발생합니다.
• 범위 제한 (Scope Limitations): 많은 솔루션이 로딩 단계나 특정 직렬화 형식(예: Pickle)에 국한되어 있으며, 추론(Inference) 또는 학습(Training) 단계에서 나타나는 위협은 무시합니다.

방법론: MOAT 및 RE-MOAT

저자들은 라이프사이클 인식 동적 분석 접근 방식인 MOAT(Model-Oriented Action Tracing)와 그 참조 구현체인 RE-MOAT를 제안합니다. 핵심 직관은 ML 모델은 파라미터는 다양할지라도, 그 실행은 잘 정의된 라이프사이클 단계(로딩, 추론, 학습)와 사용되는 특정 프레임워크에 의해 제약된다는 것입니다. 결과적으로, 이 단계 동안 호스트 시스템과의 상호작용은 매우 구조화되고 예측 가능합니다.

핵심 개념

1. 실행 경계 (Execution Boundaries): 시스템은 특정 공격 시그니처를 찾는 대신, 각 프레임워크-단계 쌍에 대한 "실행 경계"(허용 목록)를 정의합니다. 이 경계는 양성 모델이 수행해야 하는 예상되는 보안 관련 작업(파일, 네트워크, 프로세스 및 장치와의 상호작용)의 집합을 명시합니다.
2. 액션 추상화 (Action Abstraction): 저수준 시스템 호출(System Call)을 고수준 보안 액션으로 추상화합니다. 예를 들어, mmap 시스템 호출은 그 인자를 바탕으로 메모리 할당 또는 파일 접근으로 해석됩니다.
3. 이상 탐지 (Anomaly Detection): 특정 라이프사이클 단계에서 정의된 실행 경계를 벗어나는 동작을 수행하는 모델은 의심스러운 것(예상 밖의 동작)으로 분류됩니다.

시스템 아키텍처 (RE-MOAT)

RE-MOAT는 Linux x86-64 환경에서 구현되었으며 네 가지 구성 요소로 이루어져 있습니다:

1. 액션 추상화 (Action Abstraction): 시스템 호출을 추상화된 보안 액션으로 매핑합니다.
2. 실행 경계 정의 (Execution Boundaries Definition): 양성 모델을 실행하여 예상되는 동작을 프로파일링하는 오프라인 프로세스입니다. 이 프로파일은 악용될 수 없음을 보장하기 위해 수동으로 검증됩니다.
3. 오케스트레이터 (Orchestrator): ML 모델의 실행을 관리하며, 특정 라이프사이클 단계(예: 로딩 vs 추론)를 격리하여 올바른 경계가 적용되도록 합니다. 초기화 노이즈를 필터링하기 위해 모니터링 윈도우의 시작과 끝을 표시하는 신호를 주입합니다.
4. 트레이서 (Tracer): libdebug/ptrace를 기반으로 구축된 런타임 구성 요소로, 시스템 호출을 가로채고 이를 액션으로 매핑한 뒤 활성화된 실행 경계와 대조합니다. 위반 사항 발생 시 경고를 발생시킵니다.

주요 기여

• 기초적 직관 확립: 본 논문은 ML 모델 실행이 특정 프레임워크 및 라이프사이클 단계 내의 인스턴스 간에 낮은 이질성을 보인다는 점을 입증하여, 정밀한 실행 경계 정의가 가능함을 보여줍니다.
• MOAT 프레임워크: 아티팩트 구조를 분석하는 대신 호스트 상호작용에 대한 실행 경계를 강제함으로써 ML 실행을 보호하기 위한 개념적 설계를 제공합니다.
• RE-MOAT 구현: 다중 프레임워크(PyTorch, Keras, TensorFlow) 및 포맷(Pickle, .keras, .h5, SavedModel)을 지원하는 시스템 호출 기반의 참조 구현체를 제공합니다.
• 실증적 검증: 77,974개의 실제 모델, 31개의 CVE 및 신규 공격 PoC(Proof-of-Concept)를 통한 종합적인 평가를 수행했습니다.

실험 결과

평가는 공격자가 로딩, 추론 또는 학습 중에 호스트 시스템을 침해(예: 임의 코드 실행, 데이터 유출)하는 것을 목표로 하는 위협 모델 하에 수행되었습니다.

• 미지의 익스플로잇 (RQ1): RE-MOAT는 신규 취약점(예: CVE-2025-1550, CVE-2025-9905) 및 TensorAbuse 기법을 악용하는 공격을 포함한 31개의 PoC를 모두 탐지했습니다. 탐지는 특정 취약점 규칙을 하드코딩하지 않고, 오직 예상되는 호스트 상호작용으로부터의 이탈에만 의존하여 달성되었습니다.
• 대규모 분석 (RQ2): Hugging Face Hub의 77,974개 모델을 분석한 결과, RE-MOAT는 23개의 모델을 의심스러운 것으로 분류했습니다. 수동 검사 결과 이 23개 모델은 모두 악성(명령 실행부터 리버스 쉘까지)이었으며, **0%의 오탐률(False-Positive Rate)**을 기록했습니다.
• 최신 기술 비교 (RQ3): 334개의 모델 데이터셋을 대상으로 MODELSCAN, PICKLEBALL, Fickling과 비교했습니다:
  • 본 논문의 위협 모델(호스트 침해 중심) 하에서 RE-MOAT는 **0%의 오탐(False Positive) 및 0%의 미탐(False Negative)**을 달성했습니다.
  • 경쟁 도구들은 정적 시그니처에 의존하거나 제한된 위협 가정(예: 추론 시점 공격 무시)으로 인해 상당한 오탐(최대 42.5%) 또는 미탐을 보였습니다.
  • RE-MOAT는 기반 모델 포맷에 관계없이 효과적이었으나, PICKLEBALL과 같은 도구는 Pickle 아티팩트에 국한되었습니다.

의의 및 주장

본 논문은 라이프사이클 인식 동적 분석이 ML 모델 실행을 위한 강력하고 일반화 가능한 방어책임을 주장합니다. "공격이 어떻게 인코딩되었는가"에서 "실행이 호스트에 어떤 영향을 미치는가"로 초점을 전환함으로써 다음과 같은 효과를 얻습니다:

• 일반화: 다양한 프레임워크, 직렬화 포맷 및 공격 벡터(코드 주입, 프레임워크 악용, 코드 재사용)에 걸쳐 작동합니다.
• 유지보수 감소: 새로운 CVE에 대해 지속적인 업데이트가 필요한 시그니처 기반 스캐너와 달리, 실행 경계는 프레임워크 자체의 안정적인 동작으로부터 도출됩니다.
• 정적 분석 보완: 저자들은 정적 분석이 알려진 나쁜 패턴을 필터링하고, 동적 분석(MOAT)이 정적 도구가 놓치는 신규 공격 및 프레임워크 악용을 잡아내는 하이브리드 접근 방식을 구상합니다.

이 연구는 ML 모델 실행의 구조적 특성 덕분에 타이트한 실행 경계를 생성할 수 있으며, 이러한 경계로부터의 이탈이 최소한의 오탐으로 악성 행위를 나타내는 강력한 신호가 됨을 입증했습니다.