Inside the XRPL AI Red Team: What We've Found and Fixed

개요

Ripple의 XRPL AI Red Team은 AI 기반 도구와 수동 검토를 결합하여 XRP Ledger의 보안 취약점을 지속적으로 탐지하고 수정하고 있습니다.

주요 내용

- XRPL 보안의 도전 과제: 2012년부터 운영되어 온 XRPL은 수십 년간의 엔지니어링 진화를 거치며 복잡성이 누적되었고, 현대적 도구 이전의 설계 결정과 레거시 패턴이 새로운 기능과 예상치 못한 방식으로 상호작용할 가능성이 있습니다.
- AI를 활용한 심층 분석: AI 모델은 대규모 코드베이스를 더 깊고 넓게 탐색할 수 있게 하여, 단독으로는 비실용적인 수준의 철저한 코드 검토와 서브시스템 간의 미묘한 상호작용에서 발생하는 엣지 케이스를 발견합니다.
- 다층적 파이프라인:
* AI 버그 탐지 에이전트: rippled 코드베이스, XRPL 클라이언트 SDK(xrpl.js, xrpl-py, xrpl4j, xrpl-rust, xrpl-go), Clio를 분석하는 커스텀 AI 파이프라인을 사용합니다.
* DepthFirst: 데이터 흐름, 비즈니스 로직, 서비스 간 상호작용을 추적하여 모듈 경계를 넘어서는 공격 경로를 찾는 AI 기반 취약점 탐지 플랫폼입니다.
* Antithesis (Fault-Injection Testing): 동시성 로드, 부분적 실패, 비정상적인 트랜잭션 순서 등 적대적인 조건에서 rippled를 실행하여 타이밍 의존적인 충돌 및 단언 실패를 탐지합니다.
* 외부 보안 연구 결과 수집: 버그 바운티 프로그램 등을 통해 외부 연구자의 보고서를 접수하고 내부 발견 사항과 동일한 트리아지 파이프라인을 거칩니다.
* PR 검토 봇: GitHub Copilot과 Claude 기반 봇을 rippled PR에 적용하여 코드베이스에 반영되기 전 문제를 탐지합니다.
- 버그 수정 라이프사이클:
* 발견 (Discovery): AI 파이프라인, DepthFirst, Antithesis, 외부 연구자를 통해 잠재적 버그를 식별합니다.
* 중복 제거 (Deduplication): 기존 보고서와 비교하여 중복 티켓을 방지합니다.
* AI 기반 트리아지 (AI-assisted triage): 자동화된 트리아지 단계에서 근본 원인 분석, 오탐지 식별, 재현 테스트 생성, 심각도 평가를 수행합니다.
* 전문가 검토 (Human expert review): AI 트리아지 결과를 도메인 전문가가 검증합니다.
* 에스컬레이션 및 라우팅 (Escalation and routing): 확인된 버그는 트리아지 보고서 및 재현 테스트와 함께 해당 엔지니어링 팀으로 전달됩니다.
* 수정 및 릴리스 (Fix and release): 온체인 변경은 Amendment 시스템을 통해, 오프체인 문제는 직접 패치로 배포됩니다.
- 주요 발견 사항 및 수정:
* Permissioned Domain + Tickets 크래시 (Critical): Ticket 기반 트랜잭션과 PermissionedDomain 기능의 특정 조합이 validator를 충돌시킬 수 있는 문제를 발견하고 수정했습니다.
* Ledger RPC API v2 크래시 (High): 인증 없이 접근 가능한 Ledger RPC API v2 엔드포인트에서 악의적인 요청으로 노드를 다운시킬 수 있는 경로를 발견하고 수정했습니다.
* 이 외에도 HTTP Forwarded Header Out-of-Bounds Heap Read, SHAMap Leaf Node Size Validation Denial of Service, STArray JSON Parsing Lacks Bounds Checking 등 다양한 심각도의 버그가 rippled, xrpl.js, xrpl-py, xrpl-rust 등에서 발견 및 수정되었습니다.
- 학습 내용:
* AI는 강력한 보조 도구이지만 인간 전문가를 완전히 대체할 수는 없으며, AI 발견 + AI 트리아지 + 인간 검증의 조합이 효과적입니다.
* AI 모델 자체만큼이나 효과적인 프롬프트 및 하네스 설계, 이슈 추적 통합, 중복 제거, 심각도 표준화, 팀 라우팅, 수정 추적과 같은 주변 인프라가 중요합니다.
* 가장 어려운 버그는 개별적으로는 정상 작동하지만 서로 상호작용하는 기능 간의 교차점에서 발생하며, AI 분석이 이러한 복잡한 상호작용을 탐색하는 데 큰 이점을 가집니다.
* 보안 투명성은 검증자 및 생태계 참여자와의 책임 있는 조정이 필요합니다.

시사점

XRPL AI Red Team의 노력은 AI 기술을 활용하여 블록체인 보안을 강화하고, 잠재적 취약점을 선제적으로 발견 및 수정함으로써 네트워크 안정성과 사용자 자산 보호에 기여하고 있습니다. 앞으로 AI 파이프라인을 오픈소스화하고 새로운 기능의 보안 테스트를 강화할 계획입니다.