ATM 아키텍처 Demo 테스트

01서론: 논문에서 코드로

2026년 4월 29일, CVE-2026-31431(“Copy Fail”)이 공개 공시되었다. 이는 Linux 커널의 authencesn 암호화 템플릿에 존재하는 로컬 권한 상승 취약점으로, splice() 제로카피 메커니즘과 AF_ALG 소켓의 상호작용을 통해 임의의 읽기 가능 파일 page cache에 대한 4바이트 제어 가능 쓰기를 달성한다. 이 취약점은 2017년부터 잠복해 왔으며, Theori 연구원 Taeyang Lee에 의해 발견되었고, Xint Code 팀이 AI 보조 분석을 통해 완전한 익스플로잇 체인으로 확장했다.

Copy Fail의 발견 과정이 우리의 주목을 끈 것은 취약점 자체 때문이 아니라, 그 발견 방법이 이조글로벌인공지능연구소가 이전에 발표한 ATM 방법론 논문(「Mythos가 발견한 0-Day 버그의 귀추적 분석」)과 구조적으로 완전히 동형이었기 때문이다: 인간 연구원이 방향성 통찰을 제공하고(“AF_ALG + splice()가 page cache 참조를 노출”), AI가 축소된 탐색 공간 내에서 표적 스캔을 수행하여, 약 1시간 내에 취약점을 명중시켰다. 이에 따라 우리는 ATM 방법론을 코드화하여 실행 가능한 프로토타입 도구를 구축하고 실제 타깃에서 그 유효성을 검증하기로 결정했다.

02ATM Scanner 아키텍처

ATM Scanner는 React 기반 단일 페이지 애플리케이션으로, Claude API를 통해 ATM 방법론의 5단계 자동화 프로세스를 구현한다. 각 단계의 출력이 다음 단계의 컨텍스트 입력으로 연결되어 인과 추론 체인을 형성한다.

2.1 5단계 파이프라인

2.2 기술적 구현 요점

Scanner는 Claude Messages API를 스트리밍 모드(SSE)로 호출하여 모델을 사용한다. 개발 과정에서 두 가지 스트리밍 파싱 버그를 발견하고 수정했다: (1) TextDecoder가 stream: true 모드로 초기화되지 않아 UTF-8 멀티바이트 문자가 청크 경계에서 절단됨; (2) SSE 데이터 행이 청크 간에 분할될 수 있어 JSON 파싱이 무음으로 실패하여 콘텐츠가 유실됨. 수정 후 행 버퍼링 메커니즘을 추가하여 완전한 SSE 데이터 행만 파싱하도록 보장했다.

모델 선택 면에서 Scanner는 Opus 4.6, Sonnet 4, Haiku 4.5의 3단계 선택지를 제공하며, 조절 가능한 max_tokens 슬라이더(2K~16K)를 갖추고 있다. 후속 테스트에서 Step 4와 Step 5의 출력이 16K 토큰 이내에서 완전히 생성됨이 확인되었다.

2.3 사전 설정 스캔 시나리오

ATM Scanner에는 세 가지 사전 설정 스캔 시나리오가 내장되어 있으며, 각 시나리오는 타깃 시스템 기술, 알려진 역사, 기지 취약점 대조군, ATM 분석 지시를 포함한다. 이하에 세 시나리오의 완전한 입력 텍스트를 제시한다:

세 시나리오의 설계는 ATM 논문의 핵심 원칙을 따른다: “어디를 볼 것인가”의 방향성 정보(기지 취약점을 대조군으로 + 핵심 설계 가정)를 제공하되, “어떤 버그를 찾으라”는 구체적 지시는 주지 않는다. Scanner의 AI 분석 모듈이 이를 토대로 고고학 분석 → 심 표시 → 표적 스캔 → 규칙 추출의 완전한 파이프라인을 자율적으로 실행한다.

03실측 1: Linux splice() 하류 스캔

첫 번째 사전 설정 시나리오는 splice()의 제로카피 하류 소비자를 타깃으로 하며, Dirty Pipe와 Copy Fail의 기지 정보를 대조군으로 포함한다.

생성된 규칙 R1(평행 쓰기 채널 규칙)과 R2(가정 지층 단층 규칙) 모두 Linux 커널 문서와 기지 CVE의 교차 검증을 통과했다. 특히 R2의 address_space에 대한 3회 소유권 의미 변경(1991년 VFS 전용 → 2001년 VFS/MM 공유 → 2007년 MM이 매핑을 능동적으로 철회 가능) 분석은 커널 개발 역사와 정확히 부합했다.

04실측 2: TCP 프로토콜 스택 심 스캔

두 번째 사전 설정 시나리오는 Linux TCP 프로토콜 스택을 타깃으로 하며, RFC 793(1973)에서 BBR(2016)까지 44년의 설계 세대를 포괄한다. 세 차례 테스트 중 가장 풍부한 출력을 보인 시나리오였다.

4.1 고고학 분석 출력 평가

ATM Scanner는 5개의 핵심 설계 세대를 식별했으며, 타임라인은 완전히 검증 가능하다. 특히 주목할 판단: TSO가 시퀀스 번호 진행을 “물리적 바이트 전송”에서 “커널 추상 계산”으로 분리시킨 것—이 통찰이 후속 심 표시의 품질을 직접 결정했다; BBR의 RTprop 측정 가정(경로 투명성)이 현대 미들박스 생태계에서 구조적으로 결여되어 있다는 것.

4.2 심 표시 및 표적 스캔

Opus 4.6의 완전한 출력은 5개의 고위험 심과 4개의 중위험 심을 표시했으며, 심 사이에 두 개의 커플링 체인을 발견했다:

4.3 심 신규성 검증

ATM Scanner가 표시한 각 심에 대해 공개 문헌 검색을 수행하여, 기지 취약점인지, 기지이지만 미악용 설계 결함인지, 아니면 전혀 새로운 미연구 영역인지를 확인했다.

검증 결론: 5개 고위험 심 중 3개(S1, S2, S5)가 ATM Scanner의 독창적 발견으로서 공개 문헌에 대응 CVE나 보안 연구가 없고; 1개(S3)는 기지이나 보안 관점에서 재정의; 1개(S4)는 부분적으로 기지이다.

4.4 핵심 발견: 심 커플링 체인

Opus는 스캔 과정에서 원래 표시에서 예상되지 않았던 구조적 리스크를 발견했다—5개의 고위험 심 사이에 두 개의 커플링 체인이 존재하여, 단일 트리거 이벤트가 복수의 심을 동시에 활성화할 수 있다:

이 발견은 ATM의 핵심 가치를 구현한다: 단일 심 분석은 체계적 리스크를 과소평가한다—가정 층의 충돌 전파 경로를 귀추 추론으로 추적해야만 심 사이의 증폭 효과를 발견할 수 있다.

05실측 3: VFS × MM 계층 간 심 스캔

세 번째 시나리오는 VFS와 메모리 관리 서브시스템의 상호작용을 타깃으로 한다. 1991년 Linux VFS 초기 설계에서 2023년 folio API 도입까지 33년의 설계 세대를 포괄하며, Dirty Cow 및 Copy Fail 취약점 계열에 직접 대응한다.

5.1 고고학 분석: 5세대 설계의 가정 협곡

ATM Scanner는 VFS와 MM 사이에 지속적으로 확대되는 “가정 협곡”을 식별했다: VFS 연산층은 write_begin에서 write_end 사이에 타깃 페이지가 독점 쓰기 가능 상태에 있다고 일관되게 가정하고; MM 층은 멀티코어 최적화 압력 하에 페이지가 복수 경로에 의해 동시 참조될 수 있도록 점진적으로 진화하여, 소유권이 참조 카운트+잠금의 조합으로 동적 협상된다. 이 두 가정은 설계상 상호 배타적이지만, 어떤 리팩터링도 이 모순을 명시적으로 다루지 않았다.

핵심적인 5회의 세대 간 도약이 정밀하게 식별되었다: 1세대(1991년 buffer/page 분리) → 2세대(2001년 page cache 통합, 소유권 분리 파괴) → 3세대(2004~2008년 NUMA/멀티코어 확장, 참조 카운트 중간 상태 출현) → 4세대(2013년 THP 복합 페이지, 세분도 의미 분열) → 5세대(2020년 folio 도입, 수정 시도하나 이중 트랙 병존 초래).

5.2 심 표시 및 표적 스캔

5.3 SEAM-03: 가장 위험한 구조적 결함

SEAM-03이 9/10 최고 위험으로 표시된 이유는 경합 조건 없이 트리거 가능하기 때문이다—세 차례 테스트의 모든 심 중 유일무이하다.

Scanner는 정밀한 스캔 좌표를 제시했다: mm/filemap.c 내 filemap_get_folio()와 find_get_page()의 병존 경로, fs/ext4/inode.c 내 ext4_write_begin()의 folio 마이그레이션 상태, 그리고 include/linux/pagemap.h 내 lock_page()와 folio_lock()의 분기 진입점.

5.4 생성 규칙

VFS × MM 스캔은 4개의 생성 규칙을 추출했다: R1(독점 가정 환각), R2(패치 반창고 재현), R3(점진적 마이그레이션 이중 트랙 윈도우), R4(계량 세분도 분열). 이 중 R3과 TCP 스캔의 R4(이중 트랙 상태 머신 회귀)는 서브시스템을 초월한 동일 메타패턴을 구성한다—서로 다른 입력이 궁극적으로 동일한 저층 취약점 생성 메커니즘을 가리키며, 생성 규칙의 수렴성을 검증한다.

06전향적 예측 검증: SEAM-03과 실제 CVE의 정확한 명중

VFS × MM 스캔 완료 후, 모든 심에 대해 공개 문헌 검색을 수행했다. SEAM-03(folio 이중 트랙 병존 심)이 최소 세 개의 실제 CVE에 의해 정확히 명중되었다.

CVE-2026-23097의 Red Hat 보안 공고 기술이 특히 핵심적이다—취약점 근인이 “folio_lock과 i_mmap_rwsem 사이의 잘못된 잠금 순서”임을 명시하고 있으며, 이는 ATM Scanner가 표시한 SEAM-03의 핵심 충돌—”새 folio 경로는 folio_lock()이 소유권의 유일한 중재자라고 가정하고, 구식 page 경로는 lock_page()가 base page 세분도로 독립적으로 잠금한다고 가정”—에 정확히 대응한다.

6.1 전체 심 신규성 검증 요약

세 차례 스캔의 전체 결과를 종합하여 각 고위험 심에 대한 공개 문헌 검증을 수행했다:

9개 고위험 심 중: 4개가 ATM 독창적 발견이며 대응 CVE가 없고(S1, S2, S5, SEAM-04); 1개가 ATM 독창적 발견이며 후속 실제 CVE로 정확히 검증되었고(SEAM-03); 2개가 기지 연구 방향과 부합하되 관점이 새로우며(S3, S4); 2개가 기지 취약점 근인의 재발견이다(SEAM-01, SEAM-02).

07Sonnet 4 vs Opus 4.6 비교 분석

TCP 프로토콜 스택 시나리오에서, 동일 입력을 Sonnet 4와 Opus 4.6가 각각 처리하여 유의미한 대조를 형성했다.

가장 현저한 차이는 표적 스캔(Step 4)의 깊이에 있다. S1 심을 예로 들면, Opus는 tcp_validate_incoming() 내 if (tp->rx_opt.saw_tstamp && 이 단락 평가(short-circuit evaluation)를 정밀 정위했다—saw_tstamp가 0이면 전체 PAWS 검사가 건너뛰어지고, 시스템은 1974년의 베어 시퀀스 번호 검증으로 무음 퇴화한다. Sonnet의 분석은 “PAWS가 실효할 수 있다”라는 개념 수준에만 도달했고, 구체적 실효 메커니즘에는 닿지 못했다.

08생성 규칙 요약

세 차례 테스트는 총 14개 생성 규칙을 추출했다—TCP 6개(Opus 4.6), splice() 하류 4개, VFS × MM 4개.

교차 시나리오 규칙 수렴성이 특히 주목할 만하다: TCP-R4(이중 트랙 상태 머신 회귀)와 VFS-R3(점진적 마이그레이션 이중 트랙 윈도우)는 동일 메타패턴의 서로 다른 인스턴스화이며; TCP-R2(패치 절단 의미 분기)와 VFS-R2(패치 반창고 재현)는 “수정이 새로운 심을 도입”이라는 핵심 구조를 공유한다. 이 수렴은 취약점의 생성 메커니즘이 서로 다른 코드베이스 간에 구조적 유사성을 갖고 있음을 나타낸다—ATM 논문의 핵심 명제가 여기서 경험적 뒷받침을 획득한다.

09ATM 효율 평가

Opus 4.6의 출력은 ATM 방법론의 정량적 효율 평가를 제공했다:

10Copy Fail의 ATM 소급 검증

추가 검증 단계로서, ATM 5단계 방법을 사용하여 CVE-2026-31431(Copy Fail)에 대한 사후 소급 분석을 수행하여, ATM 프레임워크가 “Dirty Pipe로부터 Copy Fail을 도출”할 수 있는지 검증했다.

10.1 Dirty Pipe에서 추출한 생성 규칙

Dirty Pipe(CVE-2022-0847)은 2022년에 이미 splice()의 제로카피 가정이 취약함을 증명했다. 당시 누군가가 생성 규칙을 추출했다면—“splice()의 제로카피 페이지 참조가 어떤 경로에서 읽기 전용으로 가정되는가?”—그리고 splice()의 모든 하류 소비자를 스캔했다면, Copy Fail의 서식지는 2022년에 정위 가능했을 것이다.

10.2 실제 발견 과정과의 구조적 동형

Xint 공식 블로그가 공개한 발견 과정은 ATM 방법론과 완전히 동형이다:

이것은 사후 적합이 아니다—Xint 팀의 워크플로가 ATM의 Step 3(인간이 심을 표시) → Step 4(AI 표적 스캔)에 정확히 대응한다. Copy Fail의 발견은 ATM 방법론의 “무의식적 실천 검증”이었다.

11단회 스캔 오류율 분석

ATM Scanner의 기반은 약 5% 샘플링 변이를 갖는 대규모 언어 모델(LLM)이다. 단회 스캔에서의 오류 발생은 필연적이며 정상적이다.

11.1 확인된 오류

11.2 오류율 통계

11.3 오류의 성질과 대응

이상의 오류는 중요한 능력 계층화를 드러낸다: ATM Scanner의 방향성 판단 능력(“어디를 볼 것인가”)이 정밀 사실 추론 능력(“구체적으로 무엇인가”)보다 현저히 우수하다. 이는 ATM의 설계 목표와 부합한다—ATM의 가치는 탐색 공간 축소에 있지, 인적 감사의 대체에 있지 않다. 방향이 맞으면 정밀도 부족은 후속 표적 인적 감사로 보상 가능하다; 방향이 틀리면 아무리 정밀해도 무용하다.

수치 계산의 내부 모순(동일 물리량이 서로 다른 단계에서 다른 값으로 나타남)은 LLM의 알려진 약점이다. 대응 전략은 두 가지다: 첫째, 반복 스캔—동일 타깃에 대해 복수의 독립 스캔을 수행하여 교집합을 고신뢰도 결과로, 차이를 인적 검증 필요로 표시; 둘째, 수치 검증 파이프라인—Scanner에 후처리 단계를 추가하여 출력 중 계산 가능한 물리량(예: 시퀀스 번호 래핑 시간 = 2³² ÷ 링크 바이트 속도)을 자동 검증.

11.4 LLM 구동 보안 스캔의 고유 리스크: 잠복 오류 문제

본 실험은 ATM 방법론 자체를 초월하여, AI 보조 보안 스캔 분야 전체에 관한 근본적 문제를 드러냈다: LLM이 생성하는 오류는 잠복적이다—정확한 출력과 형식적으로 완전히 구별 불가능하다.

인간 보안 연구원이 대화에서 “단어 스캔”(실제 의도: “단회 스캔”)을 타이핑하면 오류는 즉시 가시적이다—저자 자신이 보고, 협업자도 보고, 양측이 웃으며 교정하고 작업을 계속한다. 인간의 오타는 명확한 물리적 사건(손가락이 잘못된 키를 누름)을 갖고, 오류의 생명주기가 생성에서 발견, 교정에 이르기까지 모든 참여자에게 투명하다. 이것이 현시적 오류다.

그러나 Opus 4.6이 “40Gbps 링크에서 시퀀스 번호가 약 14초에 래핑”이라고 출력할 때—16배 편차된 이 수치는 생성되는 순간 어떤 신호도 그것이 틀렸음을 누구에게도 알려주지 않는다. 모델 자체에 신뢰도 마커가 없고, 출력 인터페이스가 빨간색으로 표시하지 않으며, 이 문장 옆에 어떤 confidence score도 부착되어 있지 않다. 동일 단락의 완전히 정확한 문장들과 동일한 폰트, 동일한 어조, 동일한 확신적 말투를 사용한다. 오류는 실제로 GPU의 행렬 곱셈에서 발생했다—특정 어텐션 헤드의 가중치 분포가 정확 값 “0.86”보다 “14”에 더 높은 생성 확률을 부여했다—그러나 이 과정은 외부에 완전히 비관측적이다. 이것이 잠복 오류다.

11.5 AI 보조 보안 스캔 도구에 대한 아키텍처적 시사점

잠복 오류 문제는 모든 LLM API 기반 보안 스캔 도구에 근본적 아키텍처 요구를 부과한다: 출력을 결론이 아닌 후보로 취급해야 한다.

첫째, 인간-기계 협업은 선택이 아닌 필수다. ATM의 올바른 아키텍처는 “인간이 방향 설정 → AI가 탐색 수행 → 인간이 검증”의 3단계 워크플로다.

둘째, 반복 스캔이 잠복 오류에 대응하는 공학적 수단이다. LLM의 샘플링 변이(temperature)는 동일 입력에 대한 다중 스캔이 서로 다른 출력을 생성함을 의미한다. 다중 스캔의 교집합을 취함으로써 잠복 오류를 체계적으로 필터링할 수 있다.

셋째, 수치 출력에는 독립 검증 파이프라인이 필수다.

넷째, “AI 스캔 결과 신뢰도 분류” 표준을 수립해야 한다.

12한계점 및 향후 작업

12.1 한계점

전향적 검증은 부분적 성격에 머문다. SEAM-03이 CVE-2025-37868과 CVE-2026-23097에 의해 검증되어 ATM의 전향적 예측 능력이 입증되었다. 그러나 이 검증은 현재 1개 심(9개 고위험 심 중)만을 포괄한다.

표본 수가 한정적이다. 현재 검증은 단일 운영체제(Linux 커널)의 세 서브시스템에 기반한다.

Artifact 샌드박스 제한. 테스트 과정에서 Step 5의 보안 분석 내용이 Claude.ai Artifact 프리뷰어의 콘텐츠 보안 정책을 트리거하여 프리뷰 패널에서 결과가 차단되었다.

12.2 향후 작업

S1 실측 검증. TCP 프로토콜 스택 스캔에서 표시된 S1(PAWS 무음 퇴화)이 가장 높은 실측 검증 가치를 갖는 심이다.

ATM Scanner 독립화. Scanner를 Artifact 샌드박스에서 독립시켜 CLI 도구 또는 독립 웹 애플리케이션으로 배포.

규칙 라이브러리 지속 축적. 매 성공적 심 스캔마다 신규 발견 생성 규칙을 라이브러리에 입고하여 검색 가능한 “취약점 유전체 데이터베이스”를 형성.

교차 생태계 블라인드 테스트. ATM Scanner가 접해 본 적 없는 오픈소스 프로젝트(예: PostgreSQL이나 Chromium의 특정 서브모듈)를 선정하여 완전한 5단계 스캔 수행 후 독립 보안 연구원이 결과를 검증.

13결론

ATM 방법론은 논문에서 코드로, 코드에서 실측으로, 실측에서 전향적 예측 검증으로 진행되었다. 세 차례 테스트 모두 유의미한 결과를 산출했으며, 핵심 발견은 다섯 가지로 귀결된다:

첫째, ATM Scanner는 전향적 예측 능력을 갖추고 있다. SEAM-03(folio 이중 트랙 병존 심, 9/10)이 CVE-2025-37868과 CVE-2026-23097에 의해 정확히 명중되었다.

둘째, ATM Scanner는 장난감이 아니다. 3회 스캔이 9개 고위험 심을 표시했으며, 4개가 독창적 발견, 1개가 실제 CVE로 검증, 2개가 기지 연구 방향과 독립적으로 부합, 2개가 기지 취약점 근인의 재발견이다.

셋째, 생성 규칙은 시스템 간 수렴성을 보인다.

넷째, ATM 효과는 모델 추론 능력과 양(+)의 상관관계다. 이는 ATM의 출력 품질이 기초 모델의 지속적 개선에 따라 동반 성장할 것임을 의미한다.

다섯째, LLM 구동 보안 스캔은 제거 불가능한 잠복 오류 리스크를 자체 내장한다. AI 보안 스캔의 올바른 포지셔닝은 효율 증폭기이지, 판단 대체기가 아니다.

14참고문헌

ATM 아키텍처 Demo 테스트 · V2

이조글로벌인공지능연구소 · LEECHO Global AI Research Lab

& Opus 4.6 · Anthropic


2026년 5월 1일