O(n) 스캔을 O(u) 중복 제거로 변환한 Deterministic 패키지 관리

Context

AI 모델을 통한 CVE 발견 가속화로 인해 취약점 분석 대상이 급증하는 상황. 기존 Imperative 패키지 매니저(apt, npm 등)의 Non-determinism 특성으로 인해 동일 환경 여부를 증명할 방법이 없어 모든 배포 환경을 개별 스캔해야 하는 O(n) 비용 발생.

Technical Solution

• Nix의 Declarative 패키지 관리 모델을 통한 Cryptographically Verifiable Dependency Graph 구축
• 모든 환경을 입력값 기반의 고유한 Closure로 정의하여 환경 간 동일성 판별 가능 구조 설계
• Input-addressed Store Path를 활용해 동일한 경로를 가진 환경을 단일 단위로 처리하는 Deduplication 로직 적용
• 사후 스캔 방식에서 Build-time 검증 및 Flox의 System of Record 기반 추적 방식으로 패러다임 전환
• 환경별 개별 분석 대신 고유한 Dependency Set 단위로 취약점 분석을 수행하는 구조적 효율화