Project-wise Comparison of Software Birthmarks Using Weighted Partial Similarity

기술 요약: 가중치 기반 부분 유사성을 이용한 프로젝트 단위 소프트웨어 버스마크 비교

문제 정의
소프트웨어 버스마크는 표절 및 무단 코드 재사용을 탐지하는 데 사용되는 고유한 프로그램 특성이다. 기존의 유사도 측정 방식은 모듈 수준(예: 개별 소스 또는 클래스 파일 비교)에서는 효과적이지만, 수많은 모듈로 구성된 대규모 실세계 소프트웨어 생태계에서는 불충 sufficient하지 않다. 프로젝트 수준으로 모듈 단위 비교를 집계할 때 두 가지 주요 과제가 발생한다:

1. 부분적 재사용 (Partial Reuse): 많은 경우 프로젝트 내의 일부 모듈만 재사용되고 나머지 대부분은 관련이 없다. 모든 모듈 쌍을 균일하게 집계하면 실제 재사용 신호가 희석된다.
2. 우연한 유사성 (Incidental Similarity): 작거나 일반적인 모듈은 서로 관련 없는 프로젝트 간에도 우연히 높은 유사성을 보일 수 있다. 이러한 "노이즈"가 되는 매칭을 동일하게 취급하면 허위 양성(false positives)을 유발하여 탐지의 신뢰성을 저해할 수 있다.

현재의 프로젝트 단위 방법들은 이러한 문제를 체계적으로 해결하지 못하며, 의미 있는 부분적 재사용과 우연한 노이즈를 구분하는 견고한 메커니즘이 부족하다.

방법론
저자들은 **가중 집계(Weighted Aggregation)**와 **부분 유사성(Partial Similarity)**이라는 두 가지 상호 보완적인 메커니즘을 사용하여 모듈 수준의 유사도를 집계하는 프로젝트 단위 버스마크 비교 프레임워크를 제안한다.

1. 대칭 집계 (Symmetric Aggregation, SA): 프레임키는 기초적인 대칭 집계 방법을 수립한다. 기존의 비대칭 접근 방식과 달리, SA는 프로젝트 A의 각 모듈에 대해 프로젝트 B와 발견된 가장 높은 유사도 점수의 평균을 계산하고, 그 반대 방향에 대해서도 동일하게 수행한다. 이는 입력 순서에 관계없이 유사도 점수가 독립적이도록 보장한다.
2. 가중치 할당 (Weight Assignment): 작은 모듈에서 발생하는 우연한 유사성을 완화하기 위해, 저자들은 모듈의 크기(구체적으로 $k$-gram의 수)를 기준으로 가중치를 할당한다. 매우 큰 모듈이 점수를 독점하는 것을 방지하면서도 작고 노이즈가 많은 모듈의 영향력을 줄이기 위해 로그 변환($W = \ln(K)$)을 적용한다. 최종적인 두 모듈 간의 가중 유사도는 두 모듈의 원시 유사도와 정규화된 가중치 중 최솟값의 곱으로 계산된다.
3. 부분 유사성 (Partial Similarity): 부분적 재사용 문제를 해결하기 위해, 본 프레임워크는 가장 높은 가중 유사도를 가진 모듈 쌍의 상위 비율($\alpha\%$)에만 집중한다. 관련 없는 대다수의 모듈 쌍을 무시함으로써, 이 방법은 가장 관련성이 높은 재사용된 구성 요소들을 강조한다.
4. 평가 지표: 성능은 회복력(Resilience)(코드 수정에도 불구하고 재사용된 코드를 탐지하는 능력)과 신뢰성(Credibility)(독립적으로 개발된 프로젝트를 구별하는 능력)을 사용하여 평가된다. 이들은 조화 평균($H_{mean}$)을 통해 결합되어, 실제 양성 탐지와 허위 양성 방지 사이의 균형을 보장한다.

실험 설정
본 연구는 10개 카테고리에 걸친 35개의 오픈 소스 Java 프로젝트 데이터셋을 활용한다. 재사용 사례는 동일한 프로젝트의 서로 다른 버전을 비교하여 시뮬레이션하며, 비재사용 사례는 동일 카테고리 내의 서로 다른 프로젝트를 비교하여 생성한다. 실험에는 정적 $k$-gram 버스마크를 사용하며, 다양한 모듈 단위 유사도 함수(예: Cosine, Jaccard, Edit Distance)와 파라미터 구성을 평가한다.

주요 결과

• 제안된 방법의 우수성: 가중치와 부분 유사성을 결부터 1%의 범위를 결합한 제안 방법은 Lee 등의 기초 방법 및 이전의 집계 유사도 변형 모델들을 포함한 기존 방식들보다 일관되게 뛰어난 성능을 보인다. 이 방법은 낮은 분산과 함께 가장 높은 중앙값 $H_{mean}$ (0.9728)을 달려 달성했다.
• 가중치의 필요성: 가중치는 매우 중요하다. 가중치 없이 부분 유사성만 적용할 경우, 작은 모듈들이 상위 순위 쌍을 차지하게 되어 성능이 크게 저하된다(일부 구성에서는 무작위 유사도보다 낮아짐). 가중치는 이러한 노이즈를 억제하여 결과를 안정화한다.
• 부분 유사성의 효과성: 매우 유사한 모듈 쌍의 작은 부분 집합(예: 상위 1% 또는 5%)에 집중하는 것이 모든 쌍을 고려하는 것보다 더 나은 결과를 낸다. 이는 관련 없는 모듈을 무시하는 것이 부분적 재용을 탐지하는 데 필수적임을 확인시켜 준다.
• 최적의 구성: 최적의 성능은 작은 비교 범위(1–5%), 더 큰 $k$-gram 크기(3–4), 그리고 테스트된 함수 중 가장 높은 정확도와 안정성을 보인 Edit Distance 유사도 함수를 사용할 때 달성되었다.
• 대칭 집계 기초: 가중치나 부분 유사성 없이도, 대칭 집계 공식 자체만으로 기존의 비대칭 방법들보다 우수한 성능을 보여 프로젝트 단위 비교를 위한 강력한 토대를 제공한다.

의의 및 주장
본 논문은 대규모 시스템에서 모듈 단위 분석의 특정 한계를 해결하는 견고한 프로젝트 단위 버스마크 비교 프레임워크를 구축한다고 주장한다. 저자들은 다음과 같이 단언한다:

• 프로젝트 단위 유사도는 상세한 모듈 단위 검증에 앞서 대규모 표절 탐지의 첫 번째 단계(검색)를 위한 필수적인 구성 요소이다.
• 크기 기반 가중치와 부분 유사성의 결합은 코드 수정에 대한 회복력과 관련 없는 프로젝트를 구별하는 신뢰성을 동시에 향상시키는 상호 보완적인 메커니즘이다.
• 효과적인 프로젝트 단위 유사성은 복잡한 매칭 전략을 요구하지 않는다. 오히려 대칭 집계, 크기 인지 가중치, 그리고 고유사도 쌍에 대한 선택적 집중의 단순한 조합이 실용적이고 견고한 솔루션을 제공한다.
• 제안된 프레임워크는 일반적이며 다양한 유형의 버스마크에 적용 가능하지만, 본 연구는 Java 프로젝트에 대한 정적 $k$-gram 버스마크를 사용하여 이를 검증하였다.

저자들은 데이터셋이 오픈 소스 Java 프로젝트로 구성되어 있으며, 확인된 실제 표절 사례나 적대적으로 난독화된 코드가 포함되지 않았다는 점을 언급하며 한계를 인정한다. 이들은 자신들의 연구를 유사도 집계 전략에 대한 체계적인 평가로 규정하며, 향-후 다른 언어로 확장하고 난독화에 대한 강건성을 조사할 계획임을 밝혔다.