Execution-bound advisory automation for agentic AI: a reproducible AIBOM-driven CSAF-VEX framework

기술 요약: 에이전틱 AI를 위한 실행 바운드(Execution-Bound) 권고 자동화

문제 정의
현재의 소프트웨어 공급망 보안은 정적 소프트웨어 자재 명세서(SBOM)와 CSAF(Common Security Advisory Framework) 및 VEX(Vulnerability Exploitability eXchange)와 같은 취약점 상관관계 프레임워크에 크게 의존하고 있다. 이러한 메커니즘은 구성 요소의 종속성에 대한 가시성을 개선하지만, 근본적으로 정적이다. 이들은 선언된 구성 요소를 열거할 뿐, 런타임 실행 상태, 운영 정책 제약 또는 구성 요소가 배포되는 시스템의 행동적 특성과의 검증 가능한 연결 고리를 결격하고 있다.

이러한 한계는 에이전틱 AI(Agentic AI) 시스템의 맥락에서 매우 치명적이다. 에이전틱 AI는 단일적인 소프트웨어 아티팩트가 아니라 파운데이션 모델, 프롬프트 템플릿, 도구 커넥터, 오케스트레이션 로직, 컨테이너화된 종속성으로 구성된 동적인 멀티 에이전트 환경이기 때문이다. 이러한 시스템에서 행동은 컨텍스트 입력, 메모리, 에이전트 간 통신, 그리고 강제된 실행 정책에 의해 형성된다. 전통적인 SBOM 기반 워크플로우는 모델 리니지(lineage), 프롬프트 종속성 또는 도구 호출 체인을 포착하지 못한다. 결과적으로, 정적 인벤토리로부터 도출된 익스플로잇 가능성 평가는 운영 리스크를 과대평가하여 상당한 양의 허위 양성(false-positive) 복구 노력을 발생시킨다. 최근 등장한 인공지능 자재 명세서(AIBOM)가 AI 특화 아티팩트로 투명성을 확장하고 있으나, 현재로서는 런타임 텔레메트리와 권고 생성(advisory generation)을 결합할 수 있는 재현 가능한 메커니즘이 부족하다.

방법론
본 논문은 취약점 권고 자동화를 정적 열거 프로세스에서 실행 바운드(execution-bound)의 컨텍스트 인식형 계산 워크플로우로 전환하는 프로토콜 기반 프레임워크를 제안한다. 본 방법론은 SBOM 및 AIBOM 아티팩트를 결정론적 환경 캡처 및 구조화된 런타임 텔레메트리에 결합하기 위해 세 가지 조정된 레이어를 통합한다:

1. 결정론적 환경 캡처 (Model Context Protocol - MCP): 이 레이어는 컨테이너 이미지 다이제스트, 모델 아티팩트 해시, 프롬프트 템플릿 커밋 식별자, 도구 엔드포인트 정의, 강제된 보안 정책(예: 네트워크 이그레스 제어)을 포함한 실행 전 상태를 캡처한다. 모든 아티팩트는 재현 가능한 실행 엔벨로프(envelope)를 생성하기 위해 암호학적으로 봉인된다.
2. 런타임 관찰 및 조정 (Agent2Agent - A2A 프로토콜): 보안 사이드카 에이전트 또는 init-wrapped 프로세스가 구조화된 런타임 텔레메트리를 수집한다. 여기에는 시스템 콜 트레이스, 동적 라이브러리 로드, 외부 네트워크 연결, 도구 호출 이벤트, 권한 수준이 포함된다. 텔레메트리는 침해적인 계측 없이 무결성을 보장하기 위해 소스에서 타임스탬프가 찍히고 해싱되며 서명된다.
3. 거버넌스 및 추적성 (AGNTCY): 이 오케스트레이션 레이어는 에이전트 신원을 검증하고, 정책 제약을 강제하며, CSAF-VEX 권고의 서명 및 배포를 관리한다. 이는 특정 작업 UUID 및 데이터셋 DOI를 연합 투명성 레이어에 연결한다.

익스플로잇 가능성 추론 엔진은 세 가지 조건 로직에 따라 작동한다:

• 존재 여부(Presence): 취약한 구성 요소가 SBOM/AIBOM에 선언되어 있는가?
• 활성화 여부(Activation): 런타임 중에 해당 구성 요소가 실제로 호출되거나 도달 가능한가 (텔레메트리를 통해 검증)?
• 실행 가능성(Feasibility): 환경적 제약(예: 네트워크 정책, 권한 제한)이 익스플로잇 발생을 허용하는가?

취약점은 위 세 가지 조건이 모두 충족될 때만 **영향을 받음(Affected)**으로 분류된다. 그렇지 않으면 **영향을 받지 않음(Not Affected)**으로 분류된다. 프레임워크는 런타임 증거 해시와 프로비넌스(provenance) 참조를 포함하는 암호학적으로 서명된 CSAF-VEX 권고를 생성하며, 이는 결정론적 재현(deterministic replay)을 통해 검증된다.

주요 기여

• 실행 바운드 권고 생성: 본 논문은 권고 생성을 정적 종속성 열거가 아닌, 관찰된 시스템 행동에 근거한 결정론적 프로세스로 재정의한다.
• AIBOM 통합: SBOM 개념을 AI 특화 아티팩트(모델, 프롬프트, 도구)로 확장하고 이를 런타임 텔레메트리에 결합하여 통합된 AIBOM 기반 파이프라인을 구축한다.
• 결정론적 재현을 통한 재현성: 실행 엔벨로프를 봉인하고 감사 리플레이 시 해시 비교를 통해 출력을 검증함으로써, 동일한 실행 조건 하에서 CSAF-VEX 권고가 재현 가능함을 보장한다.
• 컨텍스트 인식 필터링: 런타임 텔레메트리와 정책 제약을 통합함으로써, 존재하지만 활성화되지 않는 취약점을 필터링하여 허위 양성을 대폭 감소시킨다.

결과
본 프레임워크는 약 10,000개의 구성 요소 항목을 사용하여 합성 에이전틱 AI 워크로드(50개에서 5,000개 구성 요소 범위) 및 실제 컨테이너 데이터를 대상으로 평가되었으며, OSV, GitHub Advisory, CISA KEV, FIRST EPSS의 위협 인텔리전스를 포함하였다.

• 성능 지표: 통제된 실험 조건 하에서, 본 프레임키워크는 F1-score 0.93(정밀도 0.96, 재현율 0.92)을 달성했다. 이는 정적 SBOM-CVE 매칭이 달성한 F1-score 0.78에 비해 유의미한 향상이다.
• 허위 양성 감소: 실행 바운드 접근 방식은 정적 베이스라인 대비 허위 양성을 37%에서 42% 감소시켰다. 이는 주로 네트워크 이그레스, 권한 상승 또는 런타임 중에 관찰되지 않은 동적 실행 경로를 요구하는 취약점을 제외함으로써 달성되었다.
• AIBOM 영향: AIBOM 아티팩트의 통합은 AI 특화 아티팩트 케이스의 **31%**에서 익스플로잇 가능성 결과를 변경했다. 구체적으로, AI 특화 취약점 사례의 54%가 네트워크 격리 또는 도달 불가능한 프롬프트 라우팅으로 인해 비활성화 가능(non-activatable) 상태로 재분류되었다.
• 재현성: 봉인된 실행 엔벨로프의 결정론적 재현은 100회의 권고 생성 주기 동안 100% 해시 일관성을 나타냈으며, 이는 동일한 조건 하에서 익스플로잇 가능성 결과가 안정적임을 확인시켜 준다.
• 확장성: 시스템은 근사 선형 처리 특성을 보여주었으며, 컴퓨팅 최적화 인스턴스에서 1,000개의 SBOM 항목을 4분 이내에 처리하였고, 런타임 텔레메트리로 인한 평균 오버헤드는 8.4%였다.

의의 및 주장
본 논문은 순수 데이터 기반 예측 모델링 연구가 아닌, 구조화된 시뮬레이션 기반 경험적 검증을 갖춘 시스템 및 프레임워크 기여로서 본 작업을 포지셔닝한다. 저자들은 본 방법론이 "기술적 투명성"에서 "운영적으로 근거한 컨텍스트 인식 보안 인텔리전스"로 권고 자동화를 이동시킴으로써 AI 공급망 보안의 결정적인 방법론적 격차를 해결한다고 주장한다.

의의는 에이전틱 AI 시스템에서의 익스플로잇 가능성이 정적 종속성 그래프만으로는 추론될 수 없음을 입증하는 데 있다. AIBOM 아티팩트를 런타임 텔레메트리에 결합함으로써, 본 프레임워크는 CSAF-VEX 생성을 정적 공개에서 실행 근거 기반의 익스플로잇 가능성 평가로 변모시킨다. 이를 통해 조직은 단순히 존재하는 취약점과 특정 정책 제약 하에서 실제로 익스플로잇 가능한 취약점을 구분할 수 있다. 저자들은 본 결과가 통제된 조건 하에서 타당성과 내부 유효성을 입증하지만, 부분적 관측 가능성 및 확장성 테스트를 위한 합성 데이터 사용에 따른 제한 사항을 인정하며, 모든 이질적인 실제 배포 환경에 대한 보편적인 예측 일반화를 주장하지는 않는다고 강조한다.