Microsoft MDASH 멀티에이전트 취약점 탐지 아키텍처

모델이 아니라 하네스가 취약점 탐지를 움직인다

Microsoft ACS(Autonomous Code Security) 팀이 공개한 MDASH(Multi-moDel Agentic Scanning Harness)는 100개 이상의 특화 AI 에이전트를 조율해 취약점을 찾고 검증하는 보안 시스템이다. 2026년 5월 Patch Tuesday에서 16개 신규 CVE를 발견했으며, CyberGym 벤치마크에서는 88.45%로 1위를 기록했다.

MDASH의 출발점은 SAST(Static Application Security Testing)와 DAST(Dynamic Application Security Testing)의 공백이다. 두 방식은 각각 패턴 매칭과 규칙 기반 분석, 실행 중 관측에 의존한다. 기존 도구의 오탐률(False Positive Rate)은 20-40%에 이르고, 여러 파일에 걸친 취약점이나 논리 결함을 다루는 데 한계가 있다.

이 시스템은 “하네스가 일하고, 모델은 하나의 입력일 뿐(The harness does the work, and the model is one input)”이라는 관점을 따른다. 하나의 LLM에 모든 판단을 맡기지 않고, 역할별 에이전트와 구조화된 검증 흐름을 결합한다. 감사자와 토론자, 증명자는 같은 방식으로 추론하지 않으며, 각자 역할·프롬프트 체계·도구·종료 기준을 가진다.

개발에는 DARPA AI Cyber Challenge에서 $20-29.5M을 획득한 Team Atlanta 멤버를 포함한 Microsoft ACS 팀이 참여했다.

발견에서 PoC까지 이어지는 분석 흐름

MDASH는 코드를 준비하고, 스캔한 결과를 검증·통합한 뒤 실제 증명으로 넘기는 흐름으로 구성된다.

⤢✕

Prepare 단계에서는 소스 코드를 수집하고 언어 인식 인덱스를 만든다. 공격 표면과 위협 모델도 함께 매핑해 이후 분석에 필요한 컨텍스트를 마련한다.

Scan에서는 취약점 유형에 맞춰 나뉜 에이전트가 코드 경로를 독립적으로 분석한다. 대상에는 메모리 손상, 타입 혼동, 인증 우회, 파서 버그가 포함되며, 각 에이전트는 과거 CVE와 패치 데이터로 구성된다.

Validate는 감사 결과를 그대로 받아들이지 않는 단계다. 토론 에이전트가 발견을 검증하거나 반박하고, 실제 악용 가능성과 도달 가능성을 논쟁한다. 모델 사이의 불일치 패턴에는 신뢰도 가중치가 적용된다.

Dedup에서는 의미가 같은 발견물을 하나로 통합해 중복 취약점을 제거한다. 마지막 Prove 단계는 익스플로잇 트리거 입력을 만들고 PoC 공격을 실행해 취약점의 존재와 악용 가능성을 확인한다. 이 검증 능력이 기존 SAST와 구분되는 지점이다.

불일치를 걸러내는 에이전트 오케스트레이션

⤢✕

이 구조에서 불일치는 오류가 아니라 판별 신호다. 감사 에이전트가 의심스러운 코드를 표시한 뒤 토론 에이전트가 그 주장을 반박하지 못하면 해당 발견물의 사후 신뢰도가 높아진다. 반대로 쉽게 반박되는 발견은 오탐으로 걸러진다.

플러그인 아키텍처는 파운데이션 모델만으로 얻기 어려운 환경별 지식을 보안 연구자와 도메인 전문가가 주입할 수 있게 한다. 파일시스템 불변값, 커널 호출 규약, IRP(I/O Request Packet) 규칙, 잠금 불변값, IPC 신뢰 경계, 코덱 상태 머신, CodeQL 분석 데이터가 여기에 포함된다. Windows 내부 구조나 커널 아키텍처처럼 LLM 단독으로는 파악하기 어려운 영역의 취약점 탐지를 위한 확장점이다.

역할에 따라 나뉘는 모델 패널

MDASH는 작업 성격에 맞춰 세 유형의 모델을 선택적으로 라우팅한다.

역할	모델 유형	담당 작업	비용 수준
주요 감사자	프론티어 SOTA 모델	복잡한 추론·1차 스캔	높음
비용 효율적 토론자	경량 증류 모델	대량 검증 패스	낮음
독립 반론자	별도 SOTA 모델	적대적 검토·신뢰도 향상	높음

경량 모델은 대량 검증 패스를 저비용으로 맡고, 프론티어 모델은 추론 부담이 큰 작업에 배치된다. 두 모델이 함께 동의한 발견물은 신뢰도가 높아지며, 한쪽에서만 플래깅한 항목은 추가 검증으로 넘어간다. 구성 가능한 패널 방식이므로 성능과 비용 사이의 트레이드오프를 조정할 수 있다.

SAST·DAST와 비교했을 때의 차이

항목	기존 SAST	기존 DAST	MDASH
분석 유형	코드 패턴 매칭	런타임 관측	추론 + 동적 검증
오탐률	20-40%	보통	0% (21개 기준)
취약점 증명	불가	제한적 관측	PoC 자동 생성
전문가 컨텍스트	제한적	제한적	플러그인으로 풍부한 주입
크로스 파일 분석	제한적	불가	에이전트 협업으로 처리
새로운 패턴 탐지	규칙 기반 한정	런타임 의존	추론 기반 가능
운영 비용	낮음	중간	높음 (연산 집약적)

SAST는 이미 알려진 취약점 패턴을 빠르게 찾아내지만, 복잡한 로직 취약점과 새로운 공격 패턴에는 제약이 있다. DAST는 실행 환경을 관측해야 하고 코드 커버리지가 제한된다.

MDASH는 에이전트의 추론과 동적 검증을 결합해 두 방식의 장점을 함께 취하려 한다. 그 대가로 연산 비용은 높다. PoC 자동 생성은 발견이 실제 취약점인지 확인하는 장치이며, 오탐률을 크게 낮추는 핵심 기제로 제시된다.

공개 점수와 실제 적용 결과를 읽는 법

CyberGym 공개 벤치마크는 UC Berkeley의 188개 오픈소스 프로젝트와 1,507개 취약점을 대상으로 한다.

시스템	점수	순위
Microsoft MDASH	88.45%	1위
Anthropic Mythos	83.1%	2위
OpenAI 시스템	81.8%	3위

MSRC 히스토리컬 케이스 테스트에서는 clfs.sys의 5년 데이터에 포함된 28개 확인 버그 중 96%를 재탐지했고, tcpip.sys의 5년 데이터에 있는 7개 확인 버그는 100% 재탐지했다.

StorageDrive 개인 테스트에서는 심어진 21개 취약점을 100% 탐지했고 오탐은 0건, 오탐률은 0%였다. 2026년 5월 Patch Tuesday 적용에서는 Windows 네트워킹·인증 스택에서 치명적 RCE 4건을 포함한 16개 신규 CVE를 발견했다. 대상에는 Windows 커널 TCP/IP 스택, IKEv2 서비스, DNS 처리, Netlogon 프로세스가 포함된다.

다만 CyberGym 점수는 자가 보고 수치이며 독립 검증이 제한적이다. 이미 알려진 취약점을 재현하는 과제이므로, 이 결과를 제로데이 탐지 능력과 동일하게 볼 수는 없다.

자동화 범위가 넓어질수록 남는 운영 문제

MDASH 같은 구조는 사람이 수작업으로 수행하던 코드 보안 감사를 AI 에이전트로 24/7 자동화할 가능성을 보여준다. Patch Tuesday처럼 대량 취약점 분석을 짧은 시간 안에 처리해야 하는 상황에서도 일관된 품질을 유지하는 데 활용될 수 있다. 도메인 전문가의 지식을 플러그인으로 정리하면 조직의 보안 지식을 확장 가능한 형태로 운영할 수 있다.

비용은 별도의 설계 문제다. 100개 이상 에이전트를 오케스트레이션하고 프론티어 모델을 반복 호출하는 구조는 상당한 연산 비용을 요구한다. Microsoft는 현재 소수의 선별 고객에게만 제한 프리뷰를 제공 중이며, 상용화 시 비용 구조는 미지수다. 경량 모델 병용과 선택적 프론티어 모델 라우팅이 비용 최적화의 핵심 전략으로 놓인다.

PoC 자동 생성에는 이중 사용 위험도 있다. 방어를 위한 기능이 자동화된 공격 가능성도 함께 내포하므로, 접근 제어와 사용 정책이 중요해진다.

MDASH는 단일 LLM의 능력보다 에이전트 오케스트레이션과 구조화된 검증 파이프라인에서 경쟁력을 찾는다. 감사자와 토론자 앙상블, PoC 검증, 플러그인 기반 컨텍스트 주입은 오탐과 맥락 부족이라는 기존 도구의 문제를 다루는 설계다. Patch Tuesday 적용 결과는 AI 에이전트 기반 보안 자동화가 실용 단계에 들어섰음을 보여주며, 이 아키텍처는 향후 AI 보안 도구 설계의 참조점이 될 수 있다.