RAG 기반 Agentic AI 도입으로 취약점 탐지 정확도 6%에서 98%로 혁신

Context

기존 SAST 도구의 고정된 패턴 매칭 방식으로 인한 높은 False Positive 발생 및 함수 경계 간 복잡한 의존성 분석 한계 직면. 대규모 코드베이스 내 세밀한 Semantic Reasoning 부재로 인한 보안 탐지 효율 저하 상황 분석.

Technical Solution

• RAG 기반 컨텍스트 주입을 통한 프로젝트 특화 소스 코드, 빌드 파일, 문서 정보의 LLM 결합 설계
• 단순 패턴 매칭을 대체하는 Agentic AI 워크플로우 도입으로 크로스 컴포넌트 의존성 분석 및 Semantic Reasoning 구현
• Plugin-based Architecture 채택을 통한 LLM 모델, 지원 언어 및 Custom Prompt의 유연한 확장성 확보
• LiteLLM 라우터를 활용하여 vLLM 기반 Chat 모델과 Embedding 모델 간의 효율적인 트래픽 분산 및 요청 조율 구조 구축
• 외부 SAST 도구의 탐지 결과를 재검증하는 Pipeline을 구성하여 False Positive 제거 프로세스 최적화

Impact

• 전통적 SAST 대비 True Positive Rate 최대 10배 향상 및 False Positive 약 50% 감소
• GPT-5.5-Cyber 기반 벤치마크 결과, 취약점 식별 정확도 6%에서 98%로 비약적 상승
• Arm 내부 130개 이상의 소프트웨어 프로젝트에 실전 적용 및 모니터링 수행

Key Takeaway

정적 분석의 한계를 LLM의 컨텍스트 추론 능력으로 보완하는 Hybrid 접근법의 효용성 입증. 도메인 특화 지식을 RAG로 주입하여 일반 모델의 환각을 억제하고 분석 정밀도를 높이는 설계 원칙 확인.