고려대 우승훈 교수팀, 소프트웨어 보안 위협 추적 기술 개발

[서울=뉴시스]박시은 인턴 기자 = 스마트폰이나 자동차, 가전제품 등에 들어가는 소프트웨어의 이름이나 형태가 달라지더라도 실제 코드의 핵심 동작을 분석해 숨겨진 보안 위협을 추적하는 기술이 개발됐다.

고려대학교는 우승훈 컴퓨터학과 교수 연구팀이 지난 5일부터 9일까지 캐나다 몬트리올에서 열린 소프트웨어 공학 분야 국제 학술대회 'FSE 2026’에 참가해 논문 2편을 발표했다고 31일 밝혔다.

첫 번째 성과인 'SBridge(에스브릿지)'는 개발자가 작성한 '소스코드'와, 이를 컴퓨터가 실행할 수 있도록 변환시킨 '바이너리'의 함수를 비교해 서로 대응하는 코드를 식별하는 기술이다.

연구팀은 조건문과 반복문 등 함수의 실제 동작을 단위별로 비교하는 방식을 적용했다. 변환 과정에서 함수 이름이나 구조 정보가 사라지더라도 제품에 사용된 오픈소스 코드와 관련 취약점을 추적할 수 있게 했다.

연구팀이 프로그래밍 언어(C 및 C++) 기반 바이너리 3904개를 평가한 결과, SBridge는 기존 연구 대비 함수 탐지 성능을 최대 73% 높인 것으로 나타났다. 특히 실험 대상 함수의 약 40%는 원래 형태를 크게 바꾸는 최적화 기술이 적용됐음에도 높은 탐지 성능을 유지했다.

우 교수 연구팀의 두 번째 성과는 개발자들이 자주 사용하는 '파이썬 패키지 저장소(PyPI)' 내의 보안 위협을 정밀 추적한 연구다.

연구팀은 이름과 버전 정보만 확인하는 기존 방식으로는 코드 재사용을 통한 위장 패키지를 가려내기 어렵다는 점에 주목하고, 실제 소스코드의 유사성을 직접 비교 분석했다.

'파이썬 패키지 저장소' 내 약 20만 개의 패키지를 분석한 결과, 인기 패키지의 코드를 재사용한 복제 패키지 1361개가 확인됐다. 이 가운데 알려진 보안 취약점이 포함된 패키지가 256개에 달했으며, 기존에 보고되지 않았던 악성 패키지 7개도 새롭게 적발됐다. 패키지 이름과 단순 정보만으로는 공급망을 노린 악성 위협을 막기 어렵다는 점을 입증한 셈이다.

우승훈 교수는 "오픈소스 활용이 늘어날수록 소프트웨어에 어떤 코드가 들어 있는지 투명하게 확인하는 일이 중요하다"며 "이번 연구가 실제 코드 분석을 통해 소프트웨어 자재명세서(SBOM)의 정확성을 높이고 소프트웨어 공급망 보안의 사각지대를 줄이는 데 활용되길 기대한다"고 밝혔다.

◎공감언론 뉴시스 xieunpark@newsis.com ...