고려대, 오픈소스 코드 재사용 경로 추적 기술 개발

취약점 검토 대상 90% 줄여 … 보안 취약점 48건 발견

고려대학교 연구진이 오픈소스 코드가 여러 소프트웨어를 거쳐 다시 사용되는 경로를 추적하는 기술을 개발했다.

고려대 컴퓨터학과 이희조·우승훈 교수 연구팀은 코드가 어디에서 시작돼 어떤 소프트웨어를 거쳐 다른 프로그램에 다시 쓰였는지 확인하는 기술 ‘GANADI’를 개발했다고 8일 밝혔다.

소프트웨어 개발에는 기존 오픈소스 코드를 가져와 수정하거나 조합하는 일이 많다. 이 과정에서 원래 코드에 있던 보안 취약점이 그대로 남거나, 수정 과정에서 새로운 취약점이 생겨 다른 소프트웨어로 퍼질 수 있다.

특히 코드가 여러 프로젝트를 거쳐 반복적으로 재사용되면 취약점이 어디까지 전달됐는지 확인하기 어렵다.

연구팀은 이를 해결하기 위해 코드의 재사용 경로를 단계별로 추적하도록 했다. 기존 기술이 소프트웨어에 어떤 오픈소스가 포함됐는지를 찾는 데 초점을 맞췄다면, 이번 기술은 그 코드가 어떤 프로젝트들을 거쳐 전달됐는지까지 확인한다.

연구팀은 깃허브의 주요 C·C++ 프로젝트 2500개를 분석해 이 기술을 기존 보안 점검 방식에 적용했다. 그 결과 실제 코드 재사용 경로와 관련된 취약점만 추려 검토 대상을 약 90% 줄였다고 설명했다.

실제 취약점 전파 사례도 확인했다. 오픈소스 소프트웨어 ‘레디스’가 프로그래밍 언어 ‘루아’의 코드를 가져와 수정하는 과정에서 생긴 보안 취약점이 다른 소프트웨어로 다시 전달된 사례를 찾아냈다.

연구팀은 오픈소스 프로젝트에서 아직 해결되지 않은 보안 취약점 48건을 발견해 개발자들에게 알렸고, 이 가운데 23건은 수정됐다고 밝혔다.

이희조 교수는 “오픈소스가 포함됐는지만 보는 데서 나아가 코드가 어떤 경로로 재사용됐는지까지 추적하면 취약점 확산을 보다 정확하게 파악할 수 있다”고 말했다.

연구 결과는 지난달 15일 독일 뮌헨에서 열린 국제 소프트웨어공학 학술대회 ‘ASE 2026’에서 발표됐다.