LLM 기반 Triage와 다중 정적 분석 도구를 활용한 오픈소스 취약점 탐지 모델 연구

국문 초록 (Abstract)

본 연구는 소프트웨어 공급망 보안의 핵심 요소인 오픈소스 저장소의 안전성을 확보하기 위해, 정적 분석 도구와 대형 언어 모델(LLM)을 결합한 하이브리드 취약점 탐지 파이프라인을 제안하고 그 효율성을 실증적으로 평가한다. 기존 정적 분석 도구의 높은 False Positive 비율과 GitHub Search API 기반 타겟 선정의 비효율성을 개선하기 위해, LLM 기반 저장소 필터링 기법을 도입하고 CodeQL, SonarQube, Semgrep을 결합한 세 가지 분석 파이프라인을 구성하였다. 탐지 결과는 LLM과 인간 전문가의 협업 검증 과정을 거쳐 실제 취약점 여부(True Positive)와 보안 영향도를 평가하였으며, 일부 사례에서는 실제 운영 서비스에 영향을 미치는 보안 위협을 발견하여 책임 있는 제보(Responsible Disclosure) 절차까지 완료하였다. 본 연구는 자동화된 정적 분석, LLM 기반 분석 보조, 인간의 판단력을 결합한 협업 모델의 가능성을 제시하며, 오픈소스 보안 감사 자동화의 효율성과 한계를 함께 논의한다.

다국어 초록 (Multilingual Abstract)

This study proposes and empirically evaluates a hybrid vulnerability detection pipeline that combines static analysis tools with large language models (LLMs) to enhance the security of open-source repositories, a critical component of software supply chain security. To address the high false-positive rates of conventional static analysis tools and the inefficiency of GitHub Search API–based target selection, we introduce an LLM-based repository filtering method and construct three analysis pipelines integrating CodeQL, SonarQube, and Semgrep. The detected results were validated through a collaborative verification process involving both LLMs and human experts to determine true positives and assess their security impact. In several cases, the study identified security threats affecting real-world production services and completed the responsible disclosure process accordingly. This research demonstrates the potential of a collaborative model that combines automated static analysis, LLM-assisted analysis, and human judgment, while also discussing the effectiveness and limitations of automating open-source security auditing.

목차 (Table of Contents)

• ABSTRACT
• 1. 서론
• 2. LLM과 정적 분석 도구를 활용한 오픈소스 취약점 탐지 방법론
• 3. 실험 및 결과
• 4. 결론
• References