다중맥락 주의력 융합 신경망 기반 소프트웨어 취약점 탐지

초록

본 논문은 소스 코드의 추상 구문 트리(AST)를 입력으로 활용하여, 순환·합성곱·자기‑주의 메커니즘을 융합한 다중맥락 어텐션 모델을 제안한다. 모델은 취약점이 발생할 가능성이 높은 코드 구역을 정확히 지목함으로써 높은 F1 점수(98.40%)와 설명 가능성을 동시에 달성한다.

상세 분석

본 연구는 소프트웨어 보안 분야에서 사전 취약점 탐지의 중요성을 강조하며, 기존 정적 분석 도구가 가지는 규칙 기반 한계와 최신 딥러닝 기반 접근법의 복잡도·파라미터 과다 문제를 동시에 해결하고자 한다. 핵심 아이디어는 코드의 구조적 의미를 보존하는 AST를 토큰화한 뒤, 세 가지 서로 다른 신경망 모듈—Bidirectional LSTM, 1‑D CNN, 그리고 Transformer‑style Self‑Attention—을 병렬로 적용하고, 이들의 출력 특징을 어텐션 기반 가중합으로 융합하는 것이다.

1. AST 기반 입력 전처리

   • 원시 C 코드를 파싱하여 AST 노드와 엣지를 추출하고, 각 노드에 타입, 연산자, 리터럴 등 메타 정보를 부여한다.
   • 노드 순서를 깊이 우선 탐색(DFS)으로 선형화하고, 위치 인코딩을 추가해 순서 정보를 보존한다.
   • 이러한 전처리는 토큰 수준의 문자열 입력보다 의미론적 풍부함을 제공하면서도, 토큰 수가 제한적이므로 메모리·연산 비용을 크게 절감한다.

2. 다중맥락 어텐션 융합 구조

   • RNN 모듈: 양방향 LSTM은 장거리 의존성을 포착하고, 순차적 흐름을 학습한다.
   • CNN 모듈: 1‑D 컨볼루션은 지역 패턴(예: 특정 함수 호출, 연산자 조합)을 빠르게 탐지하며, 다중 필터 크기로 다양한 n‑gram 정보를 추출한다.
   • Self‑Attention 모듈: Transformer‑style 어텐션은 전역적인 토큰 간 상호작용을 모델링하여, 코드 전반에 걸친 취약점 히트스팟을 강조한다.
   • 각 모듈의 출력은 동일 차원으로 변환된 뒤, 맥락 어텐션 스코어를 계산해 가중합한다. 이 과정에서 학습 가능한 어텐션 파라미터가 어느 모듈이 현재 입력에 더 유의미한지를 동적으로 판단한다.

3. 설명 가능성 메커니즘

   • 최종 융합 특징에 대한 시각화 가능한 어텐션 맵을 역전파하여, 모델이 높은 점수를 부여한 AST 노드들을 추출한다.
   • 이를 기반으로 “취약점이 의심되는 코드 라인”을 정확히 표시함으로써, 개발자가 즉시 검토·수정할 수 있는 실용적 피드백을 제공한다.

4. 효율성 및 파라미터 절감

   • 기존 대규모 Transformer 기반 코드 분석 모델은 수억 개 파라미터를 요구하지만, 제안 모델은 약 12 M 파라미터로 동일 수준의 성능을 달성한다.
   • 이는 AST 전처리와 모듈별 경량화 설계, 그리고 어텐션 융합 단계에서의 차원 축소 전략 덕분이다.

5. 실험 및 결과

   • NIST SARD 데이터셋에서 CWE‑119, CWE‑78 등 5가지 대표 CWE를 대상으로 10‑fold 교차 검증을 수행했다.
   • 전체 평균 F1‑score는 98.40%이며, 특히 False‑Negative 비율이 0.7% 이하로 현저히 낮았다.
   • 비교 대상인 CodeBERT, GraphCodeBERT, 그리고 기존 CNN‑RNN 혼합 모델과 비교했을 때, 정확도·재현율·F1 모두 1‑2%p 상승했으며, 추론 시간은 30% 가량 단축되었다.

6. 한계와 향후 과제

   • 현재는 C 언어와 제한된 CWE에만 적용했으며, 복합 언어(예: C++/Java)와 대규모 프로젝트에 대한 일반화 검증이 필요하다.
   • AST 기반 전처리는 파서 의존성이 강해, 비표준 코드나 매크로가 많은 경우 전처리 오류가 발생할 수 있다.
   • 향후에는 데이터 흐름 분석과 타입 추론을 결합한 하이브리드 그래프‑시퀀스 모델을 도입해, 보다 정교한 취약점 원인 분석을 목표로 할 계획이다.

전반적으로 본 논문은 코드 구조와 시퀀스 정보를 동시에 활용하는 다중맥락 어텐션 융합 전략을 통해, 높은 탐지 정확도와 실용적인 설명 가능성을 동시에 제공한다는 점에서 소프트웨어 보안 자동화 분야에 의미 있는 진전을 제시한다.