OSS-CRS: 실세계 오픈소스 보안을 위한 AI 기반 사이버 추론 시스템의 자유로운 활용

OSS-CRS: Liberating AIxCC Cyber Reasoning Systems for Real-World Open-Source Security

DARPA의 AI 사이버 챌린지(AIxCC)는 사이버 추론 시스템(CRS)이 취약점 발견을 넘어 자율적으로 버그를 확인하고 수정할 수 있음을 보여주었습니다. 7개 팀이 이러한 시스템을 개발하여 경쟁 종료 후 오픈 소스로 공개했지만, 이 7개의 CRS는 여전히 원래 팀 외부에서는 거의 사용되지 않고 있으며, 각 시스템은 더 이상 존재하지 않는 경쟁용 클라우드 인프라에 종속되어 있습니다. 본 연구에서는 예산 제약 사항을 고려한 자원 관리 기능을 갖춘, 오픈 소스 프로젝트에 대한 CRS 기술을 실행하고 결합할 수 있는 오픈형 로컬 배포 프레임워크인 OSS-CRS를 제시합니다. 당선작인 'Atlantis' 시스템을 이식하여 8개의 OSS-Fuzz 프로젝트에서 이전에 알려지지 않았던 10개의 버그(심각도가 높은 3개 포함)를 발견했습니다. OSS-CRS는 공개적으로 이용 가능합니다.

DARPA's AI Cyber Challenge (AIxCC) showed that cyber reasoning systems (CRSs) can go beyond vulnerability discovery to autonomously confirm and patch bugs: seven teams built such systems and open-sourced them after the competition. Yet all seven open-sourced CRSs remain largely unusable outside their original teams, each bound to the competition cloud infrastructure that no longer exists. We present OSS-CRS, an open, locally deployable framework for running and combining CRS techniques against real-world open-source projects, with budget-aware resource management. We ported the first-place system (Atlantis) and discovered 10 previously unknown bugs (three of high severity) across 8 OSS-Fuzz projects. OSS-CRS is publicly available.