AI 풀 리퀘스트 리뷰어 대상 적응형 코드 수정 공격 (Adaptive Code Revision Attacks)

풀 리퀘스트(Pull Request) 검토는 새로운 코드가 사용자에게 도달하기 전에 소프트웨어를 보호하여, 사용자를 공격에 노출시킬 수 있는 취약점을 방지하는 데 도움을 줍니다. AI 에이전트가 이러한 검토를 점점 더 많이 수행하며 어떤 문제가 수정되어야 하는지 설명합니다. 하지만 취약한 코드를 제출하는 공격자에게는 이 피드백 자체가 무엇을 변경해야 승인을 얻을 수 있는지 알려주는 역할을 합니다. 기존의 PR 공격은 실행 가능한 코드는 고정한 채 설득력 있는 텍스트와 댓글을 통해 이러한 승인을 추구했습니다. 이는 공격자가 보고된 문제를 수정하면서도 수정된 코드에 취약점을 유지할 수 있는지 여부가 불분명하게 만듭니다. 따라서 우리는 AFCRA(Adaptive Feedback-guided Code Revision Attack)를 사용하여 이 위협에 대한 경험적 연구를 수행합니다. 성공적인 공격과 진정한 수리를 구별하기 위해, 우리는 159개의 공개된 취약점과 코드의 취약점을 검증하는 실행 가능한 익스플로잇을 포함하여 AFCRA-Bench를 구축했습니다. Sonnet 5 및 GPT-5.5 리뷰어와의 5라운드 상호작용 전반에 걸쳐, AFCRA는 가장 강력하게 평가된 텍스트 기반 또는 댓글 기반 공격보다 각각 2.5배 그리고 12.5배 높은 성공률을 달성했습니다. 이러한 성공 사례 연구들은 리뷰어들이 보고된 문제의 수리를 받아들이면서도 살아남은 취약점을 간과하는 방식을 보여줍니다. 이러한 발견들은 피드백 기반 코드 수정이 자동화된 PR 검토에 대한 위협임을 확립합니다. 이 위협을 해결하기 위해, 우리는 AI 지원 개발을 안전하게 하는 연구원, AI 제공업체, PR 리뷰어 및 PR 작성자에게 실행 가능한 시사점을 도출합니다.