기술 요약: 자동차 사이버 보안을 위한 CyberLLM 프레임워크

1. 문제 정의

소프트웨어 정의 차량(SDV)으로의 전환은 소스 코드, 런타임 로그, 배포 토폴로지에 걸친 취약점을 도입하며 자동차 공격 표면을 크게 확장시켰다. 대규모 언어 모델(LLM)은 이러한 이질적인 아티팩트를 추론하고 복구 방안을 제안할 수 있는 잠재력을 가지고 있지만, 이를 안전 필수(safety-critical) 환경에 적용하는 데에는 두 가지 주요 과제가 존재한다:

1. 확률적 특성: LLM은 결과물을 환각(hallucination)하거나 문제를 놓칠 수 있어, 보안 결정의 유일한 근거로 사용하기에는 신뢰성이 부족하다.
2. 안전 제약 조건: 차량에서 동작하는 자율 에이전트는 입력이 적대적으로 조작(예: 프롬프트 인젝션 또는 메모리 포이즈닝)되더라도 안전하지 않거나 승인되지 않은 동작을 절대 실행해서는 안 된다.

현재의 툴링은 일반적으로 규칙 기반 스캐너를 사용하여 이러한 계층들을 고립된 상태로 다루며, 계층 간을 추론하거나 감독 하에 자율적으로 행동하는 능력은 결여되어 있다. 따라서 자율적 탐지와 결정론적이고 감사 가능한 안전 봉투(safety envelope) 사이의 균형을 맞추는 프레가임워크가 필요하다.

2. 방법론: CyberLLM 프레임워크

CyberLLM은 결정론적인 런타임 안전 가드 하에서 취약점을 자율적으로 탐지하고 복구를 실행하도록 설계된, LLM이 오케스트레이션하는 멀티 에이전트 프레임워크이다. 이 시스템은 모든 에이전트가 공통의 BaseAgent로부터 파생되어 모든 입력에 대해 의무적인 출처(provenance)를 보장하는 스키마 기반 파이프라인을 통해 작동한다.

A. 계층적 탐지 아키텍처

탐지 단계는 정밀도를 희생하지 않으면서 높은 재현율(recall)을 달enc하기 위해 결정론적 분석과 LLM 정교화 과정을 결합한다:

• 결정론적 바닥(Deterministic Floor): 다음과 같은 "항상 켜져 있는" 계층으로 구성된다:
  • Regex 규칙: 코드용 다중행, 대소문자 구분 없는 패턴.
  • AST 분석기: Bandit(Python) 및 Semgrep(기타 언어)과 같은 도구의 샌드박스 실행.
  • 토폴로지 그래프 체크: 외부 액터가 메모리에 쓰기 엣지를 보유하는 등의 불변성(invariants)에 대한 배포 YAML의 정적 분석.
  • 로그 분석기: 브루트 포스 시도나 DNS 은닉 채널과 같은 이상 징후를 탐지하는 시계열/통계적 탐지기.
• LLM 정교화 패스(LLM Refinement Pass): 결정론적 히트(hits)는 LLM 스캐너의 컨텍스트로 주입된다. LLM은 새로운 것을 발명하기보다는 기존의 발견을 정교화, 설명 또는 확장하도록 엄격하게 지시받는다. "완전성 비평가(completeness critic)" 패스는 특히 정규 표현식이 탐지할 수 없는 의미론적 결함(예: 데이터 레이스, TOCTOU)을 타겟팅한다.
• 병합: 발견된 사항들은 중복 제거되며, 결정론적 계층이 그라운드 트루스(ground truth) 역할을 수행하며 LLM은 진정으로 새로운 위치를 식와했을 때만 가치를 더한다.

B. 결정 및 대응 엔진

중앙 결정 에이전트(Decision Agent)는 발견 사항을 집계하고, 인간 중심의 자산 분류 체계(7개 카테고리)를 사용하여 태그를 지정하며, 계층적 대응(없음/소프트/중등/하드)을 선택한다.

• 메모리 및 피드백: 에이전트는 서명된 교차 세션 메모리 저장소를 쿼리하여 유사한 과거 사건을 조회한다. 선례는 대응 단계를 높일 수는 있지만 낮출 수는 없다. 이전 시도가 거부된 경우, 시스템은 자동으로 단계를 격상시킨다.
• 액션 생성: 액션 생성기는 복구 계획을 구성한다. 이는 결정론적인 Rule-ID 키 기반 플레이북을 바닥으로 삼는다. 선택적인 LLM 도구 선택기는 MCP 스타일의 도구 레지스트리에서 단계를 추가할 수 있지만, 읽기 전용, 관찰 또는 검증 도구만 허용되며 파괴적인 동작은 금지된다.

C. 런타임 보안 가드

액션이 실행되기 전, SecurityGuard는 네 가지 맥락적 보안 속성(Siu et al. [1]에서 유도됨)과 독립적인 액션 정렬 오라클(action-alignment oracle)을 강제한다:

1. 태스크 정렬(Task Alignment): 목표가 허용된 집합 내에 있음.
2. 액션 정렬(Action Alignment): 액션의 종류가 목표와 호환됨.
3. 소스 권한 부여(Source Authorization): 모든 입력이 인증된 소스에서 기원함.
4. 데이터 격리(Data Isolation): 액션이 신뢰할 수 있는 목적지에만 기록함.

• 오라클 ($H_a$): 독립적인 LLM 판사가 제안된 액션이 선언된 목표를 진정으로 수행하는지 검증한다. 이 오라클은 결정을 강화(승인 $\to$ 거부)할 수만 있으며, 결코 완화할 수 없다. 이는 스캐너가 조작되더라도 안전하지 않은 액션을 강제하는 것을 방지하기 위함이다.
• 거부 처리: 액션이 거부되면, 시스템은 잠재적으로 안전하지 않은 수정을 실행하는 대신 격상된 단계로 재계획(re-planning)을 트리거한다.

D. 대칭적 공격 파이프라인

방어 품질을 평가하기 위해, CyberLLM은 방어 에이전트와 대칭을 이루는 레드팀 파이프라인을 포함한다. 이는 동일한 규칙 베이스를 바탕으로 비파괴적인 캐너리 전용 익스플로잇 스크립트(예: 셸 인젝션, 경로 트래버설)를 생성한다. 이를 통해 실제 익스플로잇을 실행하지 않고도 동일한 시나리오에서 공격과 방어를 나란히 측정할 수 있다.

3. 주요 기여

본 논문은 네 가지 주요 기여를 명시한다:

1. 계층적 탐지 설계: 정규 표현식, AST 기반 및 토폴로지 그래프 분석기를 LLM 정교화 패스와 결합한 통합 스트림을 제시하며, 여기서 결정론적 바닥이 LLM을 접지(grounding)하고 제약한다.
2. 결정 및 대응 엔진: 계층적 완화를 선택하고, 서명된 메모리와 재계획 피드백을 통해 확신을 높이며, 단계별 검증 및 롤백 기능이 있는 도구 레지스트리를 통해 계획을 실행하는 메커니즘.
3. 런타임 보안 가드: 상위 컴포넌트가 침해되더라도 안전하지 않은 액션을 방지하기 위해 네 가지 맥락적 보안 속성과 독립적인 액션 정렬 오라클을 적용하는 공식적인 강제 계층.
4. 대칭적 공격 파이프라인 및 벤치마크: 양방향 측정을 위해 익스플로잇을 생성하고 재생하는 시스템을 구축하였으며, 이를 자동차 ECU 모듈의 수동 라벨링된 코퍼스에서 평가하였다.

4. 실험 결과

프레임워크는 47개의 계층적 취약점을 포함하는 9개의 독창적인 자동차 ECU 모듈(C, C++, Rust) 및 2개의 클린 컨트롤 모듈로 구성된 독립적인 그라운드 트루스 벤치마크에서 평가되었다.

• 결정론적 계층 (Fast Mode): 라벨링된 취약점의 34.0%(16/47)를 커버하였으며, 100% 정밀도(클린 컨트롤에 대한 제로 false positive)를 보였다.
• LLM 증강 계층 (Deep Mode): LLM 정교화 및 완전성 패스를 추가함으로써, 커버리지는 약 70%(33/47)로 증가하였으며 F1 점수는 0.83을 기록했다.
• 정밀도 유지: Deep 모드는 클린 컨트롤에 대해 100% 정밀도를 유지했다. LLM 정교화는 false positive를 도입하지 않았으며, 주로 정규 표현식이 놓친 중간 심각도의 로직 및 DoS 결함(예: 미묘한 레이스, off-by-one 에러)에 대한 재현율을 개선했다.
• 언어별 분석: 개선 사항은 C, C++, Rust 전반에 걸쳐 일관되게 나타났으며, LLM 패스는 복잡한 의미론적 결함 탐지를 크게 향상시켰다.

5. 의의 및 주장

본 논문은 CyberLLM이 결정론적이고 감사 가능한 안전 봉투 내에 구현될 때, LLM 에이전트가 유용한 자율 사이버 방어를 수행할 수 있음을 입증한다고 주장한다.

• 자율성과 안전의 균형: 프레임워크는 모든 액션이 공식적인 맥락적 보안 속성을 충족해야 함을 보장함으로써 LLM의 자율성과 안전 제약 사이의 긴장을 해결한다.
• 정량적 기여: 결과는 LLM의 구체적인 가치를 정량화한다: LLM은 결정론적 바닥의 재현율을 약 두 배로 높이면서도 베니언(benign) 코드에 대한 단 하나의 false positive도 발생시키지 않았다.
• 강건성: 시스템은 스캐너가 적대적 입력에 의해 탈취되더라도, 독립적인 가드와 메모리 메커니즘이 안전하지 않은 액션의 실행을 방지하도록 설계되었다.
• 향-미래 전망: 저자들은 현재의 정적 우선 접근 방식이 효과적이지만, 향-후 연구에서는 라이브 도구 서버, CVE에 대한 RAG(Retrieval-Augmented Generation) 기반 접지, 그리고 고충실도 SDV 테스트베드(예: CARLA)에 대한 검증을 통합할 것이라고 언급했다.

결론적으로, 본 논문은 접지된 LLM 정교화, 변조 방지 메모리, 그리고 공식적인 런타임 강제 기능의 결합이 안전한 자율 자동차 사이버 보안을 향한 실행 가능한 경로를 제공함을 보여준다.