기록

Using LLMs for Security Advisory Investigations: How Far Are We?대규모 언어 모델(LLMs)은 소프트웨어 보안 분야에서 점점 더 활용되고 있으나, 취약점 권고를 정확하게 생성하는 데 있어 신뢰성은 여전히 불확실하다. 목적 및 주요 질문이 연구는 LLM이 얼마나 정확하고 신뢰성 있는 보안 권고를 생성할 수 있는지, 취약점 데이터의 불일치를 식별할 수 있는지, 가짜 CVE-ID를 탐지할 수 있는지를 조사한다. 기존 연구는 취약점 탐지 및 코드 보안 분석에서 LLM을 탐구한 바 있으나, 보안 권고 생성에서의 신뢰성에 대해서는 거의 연구되지 않았다. 이 공백을 해소하기 위해, 우리는 다음과 같은 연구 질문을 설정하였다:RQ1: 주어진 CVE-ID를 기반으로 LL..

Software Vulnerability Detection Using LLM: Does Additional Information Help? 1. 개요연구 목적: LLM(대형 언어 모델)이 소스 코드 내 보안 취약점을 자체적으로 인식 가능한지, 그리고 prompt engineering이 성능 향상에 기여하는지 탐색데이터셋: Big‑Vul (C/C++ 함수 8,921개 취약, 동일 수 안전), 총 17,761개 샘플. ([web.mit.edu][1])모델: Gemini‑pro LLM (32k 토큰 지원). ([web.mit.edu][1])2. 기본 실험(Basic Prompt)프롬프트: “Is the following function vulnerable to any CWE?” + 함수 코드 결과:정확도 \..

Large Language Model for Vulnerability Detection and Repair: Literature Review and the Road Ahead아주 따끈따끈한 논문이다. 무려 25년 5월 27일,,간단한 정리와 함께 우리 연구에 필요한 것들을 생각해봐야겠다. 1. 논문 개요 및 배경이 논문은 LLM(대형 언어 모델)을 소프트웨어 취약점 탐지와 수리에 적용한 연구들을 체계적으로 검토한 최초의 문헌조사이다. 2018년부터 2024년까지 발표된 58편(학회·저널 43편, 프리프린트 15편)의 연구를 대상으로, (1) 어떤 LLM을 사용했는지(2) 취약점 탐지에서 LLM을 어떻게 적응시켰는지(3) 수리에서는 어떻게 적응시켰는지(4) 데이터셋 및 실무 배포 전략의 특성은 무엇인지 이..

Part 04 프로그래밍 언어 활용Chapter 04 제어문과 반복문Section 1. 제어문1. 조건문(C, Java, Python) 1) if문의 기본 구조if (조건식) 조건식의 결과가 참일 때 실행하는 명령문; 2) if/else문의 기본 구조if(조건식) 조건식의 결과가 참일 때 실행하는 명령문;else 조건식의 결과가 거짓일 때 실행하는 명령문; C코드#include 입력과 출력을 다루는 함수들을 포함int main() {- C 프로그램의 시작을 알리는 main 함수- int: 정수형 값 반환- main 함수: 인자를 받지 않으므로 ( ) 안은 비어있다.int score;정수형 변수 score를 선헌printf("학생의 성적을 입력하세요: ");화면에 "학생의 성적을 입력하세요: "를 출력sc..

1. 전체 시스템 개요[공격자 VM] | | (침투 및 백도어 설치) ↓[HSS 서버 VM] ←→ [내부 DB: 가입자 정보] ↑ | (외부 패킷 캡처 및 인증 응답 시뮬레이션) ↓[관리자(포렌식) VM]2. 가상 머신 구성역할 구성 내용HSS 서버Ubuntu Linux + Flask/Node.js 웹서버 + SQLite/PostgreSQL로 가입자 DB 구성공격자 VMKali Linux + Netcat/Metasploit + 악성 BPF 스크립트 로딩 도구포렌식 VMUbuntu + Volatility, Wireshark, auditd 등3. HSS 서버 기능 재현 방법A. 가입자 정보 DB (USIM 관련)-- subscribers.dbCREATE TABLE subscrib..

Chapter 05. 애플리케이션 성능 개선section 01. 결함 관리1. 결함 관리1) 결함: 소프트웨어의 에러, 결함, 결점, 버그, 실패. 이로 인하여 설계와 다르게 동작하거나 다른 결과가 발생하는 것2) 심각도별 분류결함 등급가중치정의예시치명적(Critical)1.6시스템의 기능 중단, 장애, 심각한 보안 취약점 -> 심각한 문제 유발시스템 다운, 데이터 유실, 보안 문제 등주요(Major)1.2사용자 경험에 큰 영향/기능 수행에 지장사용자 인터페이스 오류, 기능 수행 불가, 잘못된 출력 등보통(Normal)1영향력은 적지만 사용자 불만 초래/기능수행 미세 영향오타, 화면 레이아웃 문제, 다국어 지원 미비 등경미한(Minor)0.5주요한 문제 초래 x, 디자인, 레이아웃 문제오타, UI 디자인..

챌린저 6주차새 플젝시작 2주차 당초 계획은 최근 일어난 해킹 사건을 재구성하는 것을 목표로 하여서버 구현 → 악성코드 침투 → 시스템 덤프 → 포렌식 → 보고서 작성순으로 진행하는 거였는데 교수님께 이 주제를 들고 가니까 해주신 말이 1. HSS 서버를 다 구현할 필요는 없고(애초에 못할거고) 그냥 BPF도어 어택 부분만 구현해봐라2. 해킹 사건을 정확히 재현해낼 수는 없으니 BPF도어 공부해서 이거 변형해보고 침투시켜보고 이걸로 뭘 할 수 있는지 관찰하는 걸로 해봐라3. 근데 이게 의미가 별로 없는 것 같으면 마침 내 관심 주제가 요즘 eBPF 쪽인데 이걸 공부해봐도 괜찮겠다 라고 하셔서 eBPF쪽으로 길을 틀까 한다 어택 구현하는 것도 재밌을 것 같긴 한데 이건 따로 해봐도 되니까 eBPF를 공..

SECTION 03. 소프트웨어 개발 방법론 정리1. 소프트웨어 개발 방법론 개요소프트웨어 개발 생명주기에 공학 원리를 적용하여 개발을 체계화한 것을 소프트웨어 개발 방법론이라 한다.프로젝트 관리의 효율성을 높이고 품질 향상, 비용 절감 등을 달성하는 데 목적이 있다.개발 방법론은 프로젝트에 개인이 참여하든 팀이 참여하든 일정한 절차와 기법을 따르도록 하여 의사소통 문제를 줄이고, 품질과 생산성을 향상시킨다.2. 소프트웨어 개발 방법론의 종류1) 구조적 방법론 (Structured Development Methodology)사용자 요구사항을 분석 후 문서화하고, 이를 기반으로 논리적·물리적 설계를 수행하는 절차적 방법이다.주요 구성: 자료흐름도(DFD), 구조도(Structured Chart)대표 특징:..

1. Introduction대형 언어 모델(LLMs)은 인간 피드백에 기반한 정렬(reinforcement learning from human feedback, RLHF)에도 불구하고, 여전히 오래된 정보 생성, 사실 왜곡(hallucination) 문제를 가진다.Retrieval-Augmented Generation(RAG)은 사전학습(pretraining)과 검색 기반(retrieval-based) 모델의 장점을 결합하여 이 문제를 해결하는 방법이다.RAG는 모델 파라미터를 수정하지 않고 특정 조직/도메인에 특화된 응용을 빠르게 배포할 수 있게 한다.RAG 워크플로우쿼리 분류(Query Classification)검색(Retrieval)재정렬(Reranking)재구성(Repacking)요약(Summa..

1. 서론 (Introduction)RAG(Retrieval-Augmented Generation) 시스템은 최근 LLM의 한계를 보완하는 매우 강력한 방법으로 자리잡고 있다.하지만 현재 대부분의 RAG 시스템 설계는 다음과 같은 특징을 가진다.임베딩 모델, 벡터 검색 시스템, 검색 쿼리 생성 방법, LLM 입력 프롬프트 구성이 개별적으로 선택되거나 최적화된다.이로 인해 검색-생성 파이프라인 전체가 통합적으로 최적화되지 않아 최종 출력 품질이 저하되는 문제가 발생한다.핵심 문제검색 품질이 생성 품질에 미치는 영향을 무시하는 설계가 많다.개별 컴포넌트 최적화로는 전체 RAG 시스템의 품질을 보장할 수 없다.목표:→ RAG 시스템 전체를 end-to-end 관점에서 통합 최적화하여 최상의 성능을 끌어내는 프..