Favia: Forensic Agent for Vulnerability-fix Identification and Analysis

Created by

Haebom

저자

Andre Storhaug, Jiamou Sun, Jingyue Li

💡 개요

소프트웨어 보안 유지보수에 있어 공개된 CVE에 해당하는 취약점 수정 커밋을 대규모로 식별하는 것은 어렵지만 중요합니다. 기존 방법론은 정밀도-재현율 균형에서 부족함을 보였으며, 현실적인 어려움을 과소평가하는 경향이 있습니다. 본 논문은 확장 가능한 후보 랭킹과 심층적이고 반복적인 의미론적 추론을 결합한 Favia라는 포렌식 에이전트 기반 프레임워크를 제안합니다.

🔑 시사점 및 한계

•

Favia는 효율적인 랭킹과 ReAct 기반 LLM 에이전트를 활용하여 코드베이스를 탐색하고 코드 변경과 취약점의 인과관계를 규명함으로써 간접적이고 다중 파일에 걸친 복잡한 수정 사항을 효과적으로 식별합니다.

•

제안된 대규모 데이터셋 CVEVC에서 Favia는 현실적인 후보 선택 시나리오 하에서 기존 방법론 대비 우수한 정밀도-재현율 균형과 F1 점수를 달성하며 성능을 입증했습니다.

•

본 연구의 한계점으로는 LLM 에이전트의 탐색 공간 내에서의 복잡성으로 인한 연산 비용 증가 가능성과, 실제 시스템 적용 시 추가적인 최적화 및 검증이 필요할 수 있다는 점이 있습니다.

PDF 보기

Made with Slashpage