범용 에이전트 도구 REA 이후의 리버스엔지니어링 방어 전략

2026-10-18리버스엔지니어링REA웹앱네이티브앱온디바이스 AI

2026년 10월 중순 오픈소스 도구 REA(Reverse Engineer Anything)가 개발자 사이에서 큰 주목을 받았습니다. morluto 계정이 MIT 라이선스로 공개한 이 도구는 Claude Code, Codex, Cursor 같은 코딩 에이전트에 MCP 서버로 연결되어, 소스 없이 배포된 소프트웨어를 에이전트가 직접 분석하게 합니다. 대상은 웹사이트와 네트워크 캡처, Electron 앱, Android APK, 네이티브 바이너리까지 이어지고, 설치는 npx rea-agents setup 한 줄입니다. 저장소의 스타 수는 10월 18일 조회 시점에 31만을 넘었습니다.

REA 는 분석 능력을 새로 만든 것이 아닙니다. 네이티브 바이너리 분석은 Hopper, Ghidra, IDA 에 맡기고 추론은 사용자가 연결한 에이전트가 맡습니다. 달라진 것은 접근성과 통합입니다. 표면마다 다른 도구와 숙련이 필요하던 분석이 에이전트 한 대의 연속된 작업이 되었고, 이는 방어 전략의 전제를 아래 표와 같이 바꿉니다.

항목	REA 이전의 흔한 가정	REA 이후에 두어야 할 가정
분석 진입 비용	표면마다 다른 도구와 숙련이 필요합니다.	에이전트 하나가 웹, Electron, APK, 바이너리를 이어서 추적하고 설치도 한 줄입니다.
방어의 단위	표면별 보호입니다(번들 난독화, 바이너리 보호기).	표면을 가로질러 공격합니다. 번들과 네트워크 캡처로 복원한 호출 규격이 곧 서버 공격 경로입니다.
난독화의 역할	분석 시간을 벌어 줍니다.	시간을 얼마나 버는지 불확실합니다. 보호된 대상에 대한 공개 평가가 없으므로 효과를 낮게 가정합니다.
런타임 방어	안티디버깅과 RASP 가 폭넓게 작동합니다.	정적 검사 경로에서는 발동하지 않고 런타임 캡처 경로에서만 의미가 있다고 해석됩니다.
약관과 고지문	역공학 금지 조항이 억지력을 갖습니다.	실효성이 논쟁 중이며 기술적 통제가 아닙니다.
투자 우선순위	클라이언트 하드닝가 상위에 놓입니다.	서버 이전, 남용 통제, 배포 산출물 관리(소스맵·키)이 먼저이고 클라이언트 하드닝는 보조입니다.

오른쪽 열은 REA 의 공개 자료와 해설에 근거한 해석이며 도구 성능을 실측한 결과가 아닙니다. 변화의 근거는 REA 가 보호 기법을 깬다는 입증이 아니라 분석 비용을 낮추는 방향으로 도구가 확산되고 있다는 사실입니다. 보호된 대상에 대한 성능 자료는 아직 없으므로 낙관도 비관도 하지 않고 보수적으로 가정합니다.

방어 전략 요약

클라이언트에 내려간 것은 모두 공개된 것으로 가정합니다. 난독화와 패킹은 비밀 보호가 아니라 분석 시간을 늘리는 수단입니다.
LLM 이 난독화 해제와 디컴파일을 자동화하기 시작했습니다. 이름 바꾸기와 문자열 암호화 같은 얕은 보호는 효과가 줄었습니다. 가상화 보호기를 LLM 이 끝까지 푼다는 근거는 이번 조사 범위에서 찾지 못했습니다.
실효성이 큰 순서는 서버로 옮기기, 남용 통제, 배포 산출물 관리(소스맵·키), 클라이언트 하드닝, 탐지와 법적 대응입니다.
온디바이스 AI 모델은 암호화만으로 지켜지지 않는다는 실측 연구가 여럿 있습니다. 가치가 큰 모델은 서버 추론이 기본이고, 기기에 둬야 한다면 워터마크와 TEE 를 조합합니다.

위협 모델과 방어 목표

리버스엔지니어링(역공학)은 배포된 산출물에서 동작 원리, 비밀값, 모델을 복원하는 일입니다. 웹앱의 JavaScript 번들과 네이티브앱의 바이너리는 공격자의 기기에서 실행되므로 실행에 필요한 정보는 결국 공격자에게 있습니다. 방어는 숨길 수 있다는 가정이 아니라 분석 비용을 올리고, 유출되어도 피해를 한정하고, 유출을 알아채는 것을 목표로 설계합니다.

영역	둘 수 있는 것
클라이언트(공개 영역)	JS 번들, WASM, 바이너리, 로컬 모델 가중치, 화면 로직, 호출 규격
서버(비공개 영역)	API 키와 서명 키, 라이선스·권한 판정, 핵심 모델과 프롬프트, 쿼터

클라이언트에 둔 자산은 분석 대상이 되고, 서버에 둔 자산은 인증된 API 호출 규격을 통해서만 간접적으로 노출됩니다.

OWASP MASVS 의 RESILIENCE 항목도 같은 입장입니다. 난독화, 안티디버깅, 변조 방지, 런타임 자기보호(RASP)는 심층 방어의 한 층이며 이 장치가 없다는 사실 자체가 취약점은 아닙니다. 결제, 고가치 콘텐츠, 사기 방지처럼 지킬 비즈니스 자산이 있는 앱에 적합하다고 정리합니다. MASTG 의 iOS 안내는 기기를 완전히 통제하는 분석가에게 어떤 조치도 100% 효과를 보장할 수 없다고 명시합니다.

AI 가 공격 비용을 바꾼 방식

변화는 두 가지입니다. 하나는 개별 분석 기술(난독화 해제, 디컴파일)에 LLM 이 들어온 것이고, 다른 하나는 그 기술들이 에이전트가 바로 호출하는 범용 도구로 묶여 배포되기 시작한 것입니다. 후자의 대표 사례가 서두의 REA 이며, 먼저 구성 기술을 봅니다.

JavaScript 와 웹 번들

CASCADE: Google 의 난독화 해제 도구입니다. Gemini 가 난독화의 기반이 되는 준비 함수(prelude function)를 식별하고 컴파일러 중간 표현(JSIR)이 결정적 변환을 수행합니다. 저자들은 Google 운영 환경에 배치되어 있다고 밝히지만 초록에는 정량 결과가 없습니다.
JsDeObsBench: LLM 의 난독화 해제 성능을 재는 벤치마크입니다. 정확성과 가독성을 평가할 신뢰할 만한 정답이 없다는 점을 한계로 듭니다.
JSIMPLIFIER: 정적 분석, 동적 추적, LLM 기반 이름 복원을 결합하며 44,421개 샘플 데이터셋을 함께 공개했습니다.
humanify: LLM 이 변수명을 제안하고 Babel 이 AST 수준에서 적용해 동작을 보존합니다. webcrack 은 webpack·browserify 번들을 모듈 단위로 풀어 주는 용도로 쓰입니다.

실무 가이드는 도구를 실행하기 전에 소스맵부터 확인하라고 권합니다. 소스맵이 있으면 원본을 직접 복원할 수 있기 때문입니다.

네이티브 바이너리

LLM4Decompile(EMNLP 2024): 1.3B~33B 모델 계열입니다. Ghidra 출력을 다듬는 변형이 종단 변형보다 16.2% 추가 개선을 보였습니다. 평가는 x86 C 코드에 한정되고 난독화된 코드에는 Ghidra 와 마찬가지로 크게 약합니다.
Ghidra MCP 서버: ReVa, pyghidra-mcp 등이 에이전트가 바이너리를 적재하고 디컴파일하고 심볼 이름을 바꾸는 작업을 대신하게 합니다.
BinaryAudit(Quesma): 약 40MB 바이너리에 숨긴 백도어를 AI 와 Ghidra 로 찾게 한 실험입니다. 최고 모델도 작거나 중간 크기 바이너리의 비교적 명백한 백도어를 49%만 찾았고, 깨끗한 바이너리를 의심하는 오탐이 많았습니다.
CrackMeBench v0: 심볼이 거의 없는 소형 검증 프로그램을 에이전트가 5분 안에 푸는 벤치마크입니다. 생성 과제 12건에서 GPT-5.5 가 11건, Claude Opus 4.7 이 7건을 해결했습니다. 공개 보정용 8건에서는 각각 3건과 2건이었습니다. 난독화 효과는 초록에서 변수로 다루지 않았습니다.

REA 의 구조와 범위

REA 는 MCP 서버와 CLI(rea)입니다. npx rea-agents setup 한 번으로 Claude Code, Codex, Cursor, Gemini CLI 등에 MCP 등록과 워크플로 지침이 설치됩니다. 에이전트가 REA 를 호출하면 REA 가 대상을 검사·추적해 근거와 한계 정보가 담긴 결과를 돌려주고, 에이전트가 그 결과로 동작을 설명하거나 구현·테스트합니다. README 는 분석이 로컬에서 실행된다고 설명합니다.

대상	README 가 밝힌 추출 항목	관련 절
웹사이트	페이지 구조, 스크립트, 네트워크 관찰, 스크린샷(Chrome 계열 브라우저 필요)	웹앱 방어
네트워크 캡처	HAR, Fiddler Everywhere SAZ, mitmdump	웹앱 방어
JavaScript·Electron	모듈, import, 소스맵, 라우트, IPC, 네이티브 애드온 관계	웹앱 방어, 네이티브앱 방어
WASM	지원 대상으로 명시	웹앱 방어
Android	APK(JADX), 기기(adb)	네이티브앱 방어
네이티브 바이너리	의사코드, 어셈블리, 문자열, 심볼, 호출·참조 정보. Hopper, Ghidra, IDA 중 하나에 위임	네이티브앱 방어
그 밖	.NET, Go, Rust, 펌웨어, pcap, Flutter, SQLite, EVM 바이트코드 등	이 글의 범위 밖

사례 연구로는 DX-Ball 의 사운드 팬 계산 재구성, Notion Electron 앱의 클립보드 브리지 추적, 도스 게임 TH04 의 탄막 계산 복원이 README 에 실려 있고, 2차 해설은 Android APK 와 CTF 플래그 검사기 사례도 언급합니다. 모두 정성적 시연이며 정확도나 소요 시간 같은 측정값은 공개 자료에서 찾지 못했습니다.

스타 수는 성능 지표가 아닙니다. 같은 저장소의 수치가 출처와 시점에 따라 아래처럼 달랐습니다.

시점·출처	스타	포크
2026-10-18, GitHub API 조회	311,119	78,800
2026-10-14, 팩트체크 보도(검색 요약)	234,477	58,512
날짜 미상, 해설 글	약 145,000	33,600

API 기준 저장소 생성일은 2026년 4월 14일이지만 한 보도는 2024년 4월 14일로 적어 서로 어긋났습니다. 이 글은 API 값을 따랐습니다. 수치는 며칠 사이에 크게 움직이는 스냅샷이며, 도구의 분석 품질이 아니라 관심의 크기만 말해 줍니다.

방어 관점의 해석

REA 는 새 분석 엔진이 아니라 오케스트레이션 계층입니다. 네이티브 분석은 Hopper, Ghidra, IDA 에 맡기고 추론은 사용자가 연결한 에이전트가 합니다. 보호된 코드를 얼마나 푸는지는 기반 엔진과 모델 성능에 달려 있고, README 와 해설 어디에도 난독화·패킹 대상 평가는 없습니다.
변화의 핵심은 접근성과 표면 간 교차 추적입니다. 설치가 한 줄이고, 웹 관찰에서 Electron, APK, 바이너리까지 한 에이전트가 이어서 따라갑니다. 번들만 난독화하고 서버 API 는 호출 규격만 믿는 설계는 이 교차 추적에 취약합니다.
정적 경로와 런타임 경로를 구분해야 합니다. README 는 정적 JS·.NET 검사가 앱을 실행하지 않고 파일만 읽는다고 밝힙니다. 따라서 안티디버깅, 환경 검사, RASP 같은 런타임 방어는 정적 경로에서 발동하지 않고 런타임 캡처 경로에서만 의미가 있다고 해석됩니다.
사용 범위 고지는 방어 수단이 아닙니다. 프로젝트 고지문은 DRM·라이선스 확인·안티치트 우회, 독점 코드 복제, 무단 접근 통제 우회를 돕지 않는 합법적 연구·상호운용·보존 용도라고 밝힙니다. 해설 글들은 기술적 집행 장치를 설명하지 않으며, 정책 문구에 보호를 맡길 수는 없습니다.
법적 맥락은 논쟁 중입니다. 한 해설은 역공학 금지 EULA 조항의 실효성, DMCA 1201 예외(상호운용·보안 연구), 사용 의도를 쟁점으로 듭니다. 이는 해설자의 정리이며 법률 자문이 아닙니다.

방어 기법	AI 이후 변화(조사에 근거한 해석)
이름 난독화, 최소화	LLM 이름 복원 도구(humanify 등)로 가독성 회복이 쉬워졌습니다. 방어 가치가 크게 낮아졌습니다.
문자열 암호화, 흔한 제어 흐름 변형	준비 함수를 식별해 결정적으로 되돌리는 방식(CASCADE)이 일반화되고 있습니다. 약화되었습니다.
상용 가상화 보호기(VMProtect, Themida)	자동 해제 연구는 심볼릭 실행·오염 추적(DragonSlayer)과 핸들러 구조 복원(VMPredator) 중심입니다. LLM 단독의 종단 해제 근거는 찾지 못했습니다. ShieldedCode 는 보호 강도를 학습·순위화하는 연구입니다.
소스맵, 라우트, IPC, 네트워크 규격	REA 가 소스맵·라우트·IPC 관계와 HAR·mitmdump 캡처를 추출 대상으로 명시합니다. 클라이언트에서 서버 호출 규격을 복원하는 비용이 낮아졌다고 봐야 하고, 규격이 공개되어도 안전한 서버 설계가 전제가 됩니다.
안티디버깅, 환경 검사, RASP	정적 검사 경로에서는 발동하지 않습니다(README 의 실행하지 않고 파일만 읽는다는 설명에 근거한 해석). 런타임 캡처 경로에서만 효과가 남습니다.
서버로 이전한 로직	영향이 없습니다. 클라이언트에서 분석할 대상이 사라집니다.

위 벤치마크는 규모가 작고 과제 설계에 따라 결과가 크게 달라집니다. 에이전트가 소형 검증 프로그램을 푼다는 사실이 실제 상용 소프트웨어 전체 분석을 의미하지는 않습니다. REA 도 보호된 상용 대상에 대한 평가 결과는 확인되지 않았습니다. 다만 읽기 어렵게 만드는 것만으로 버티는 설계는 분석 비용이 계속 내려간다는 전제로 평가하는 편이 안전합니다.

도구 사용 시 위험도 있습니다. 런타임 캡처는 사용자 권한으로 대상을 실행하므로 신뢰할 수 없는 바이너리는 VM 에서 다뤄야 합니다. 분석 결과는 에이전트로 전달되어 모델 제공자의 데이터 정책을 받습니다. 에이전트가 읽는 문자열과 심볼은 공격자가 만든 것일 수 있어 프롬프트 주입 위험도 있습니다. 또한 검색 요약에는 비공식 사본이 Microsoft Defender 에 트로이목마로 분류되었다는 보도가 있으나 세부는 확인하지 못했으므로, 공식 저장소가 아닌 배포본은 피하는 편이 안전합니다.

웹앱 방어

웹앱의 번들은 사실상 공개 문서입니다. 방어의 중심은 번들을 숨기는 일이 아니라 번들에 들어가는 것을 통제하는 일입니다.

비밀과 API 키를 클라이언트에 두지 않기

AI 기능을 붙인 앱에서 가장 흔한 사고는 정교한 역공학이 아니라 번들이나 트래픽에서 키가 그대로 읽히는 경우입니다.

2026년 2월 Moltbook 사건: Wiz 가 클라이언트 JavaScript 의 Supabase 키로 Row Level Security 가 없는 운영 DB 에 무인증 접근이 가능함을 확인했습니다. 노출 규모는 보도마다 수치가 달라 정확한 값은 원 보고서 확인이 필요합니다.
Escape 의 분석은 바이브 코딩 플랫폼 산출물의 JS 번들에서 익명 JWT 가 노출되고 Supabase 기본 규칙이 개발용으로 느슨하다는 점을 지적합니다.
iOS LLM 앱 444개를 분석한 연구는 282개에서 사용 가능한 자격 증명이 노출됨을 보고했습니다. 유형은 평문 키, 인증 없는 백엔드 프록시, 재사용 가능한 토큰이며, 경고 3개월 뒤 수정한 개발자는 28%였습니다. 이차 자료 기준이며 원 논문은 확인하지 못했습니다.
Google API 키는 Gemini 호출에도 쓰일 수 있어, 과거에 무해하다고 여긴 키가 과금 가능한 AI 자원에 접근하는 수단이 되었다는 Quokka 의 지적이 있습니다.

권장 구조는 다음과 같습니다.

백엔드 중계(BFF): 클라이언트는 자사 서버만 호출하고 모델 제공자 키는 서버에만 둡니다.
중계 서버에 인증을 붙입니다: 인증 없는 프록시는 키를 노출한 것과 같은 결과를 낳습니다(위 iOS 연구의 분류).
단기 토큰과 사용자별 쿼터: 토큰 만료, 사용자·IP·기기 단위 호출 한도, 월 비용 상한과 경보를 둡니다.
허용 목록: 클라이언트가 지정할 수 있는 모델, 최대 토큰, 시스템 프롬프트를 서버가 고정합니다.
BaaS 사용 시: 공개 키는 공개를 전제로 하므로 Supabase 등은 RLS 정책을 먼저 완성합니다.

소스맵과 배포 산출물 점검

2026년 3월 31일 Claude Code npm 패키지 2.1.88 에 59.8MB 소스맵이 포함되어 TypeScript 소스가 노출되었습니다. 보도에 따르면 번들러(Bun)의 소스맵 기본 생성이 원인으로 지목되었고, Anthropic 은 패키징 오류이며 고객 데이터나 자격 증명은 포함되지 않았다고 밝혔습니다. 규모 수치는 매체별로 차이가 있습니다. 이 사건의 교훈은 난독화 수준이 아니라 배포 파이프라인의 기본값입니다.

프로덕션 빌드에서 소스맵을 끄거나 오류 추적 서비스에만 비공개로 업로드합니다.
npm 패키지는 files 허용 목록으로 포함 대상을 명시하고, 배포 직전에 포함 파일을 점검합니다.
CI 에서 산출물에 .map, .env, 내부 도메인 문자열이 있으면 실패하도록 검사합니다.

npm pack --dry-run                              # 실제로 묶이는 파일 목록 확인
npm pack --dry-run --json | grep -i "\.map"      # 소스맵 혼입 검사

번들 난독화와 WebAssembly

WebAssembly 난독화는 연구가 있으나 방어 강도를 독립적으로 측정한 결과는 부족합니다. Cryptic Bytes 는 Tigress, wasm-mutate 등으로 변환한 바이너리가 암호화폐 채굴 탐지기를 회피하는 정도를 평가했고, WASMixer 는 저자 자체 보고로 실행 시간·크기 오버헤드 20% 미만을 주장합니다. 두 연구 모두 분석가가 우회하는 데 드는 시간을 재지는 않았습니다. 그러므로 WASM 으로 옮기는 것은 속도와 이식성 이점이 있어도 비밀 보호 수단으로 신뢰하기 어렵습니다.

정리하면 번들 난독화는 저비용으로 얻을 수 있을 때만 적용하고, 핵심 로직의 보호는 서버 이전으로 해결합니다.

역공학 이후의 남용 막기

번들이 분석되면 공격자는 호출 규격을 알아내 자동화된 클라이언트로 서버를 직접 호출합니다. REA 처럼 웹 관찰과 HAR·mitmdump 캡처를 한 도구에서 다루는 에이전트가 나오면서 이 복원 단계는 더 싸졌다고 보아야 합니다. 일반 관행으로 다음을 조합합니다.

사용자·기기·IP 단위 속도 제한과 일일 쿼터
봇 탐지와 이상 행동 탐지(비정상 호출 패턴, 단기간 다수 계정)
서명이나 클라이언트 비밀에 의존하지 않는 서버 측 권한 검증
AI 기능은 호출당 비용이 크므로 비용 상한 경보와 자동 차단

시스템 프롬프트와 모델 추출

시스템 프롬프트 추출 연구는 정교한 질의로 최신 모델에서 프롬프트가 추출될 수 있음을 보이고 세 가지 방어를 제안합니다. 그중 ProxyPrompt 는 원본 대신 대리 프롬프트를 사용해, 저자 자체 평가에서 264개 모델·프롬프트 쌍 중 94.70%를 추출로부터 보호했다고 보고합니다(차선 방어는 42.80%). 이 수치는 저자 평가이고 독립 재현은 확인하지 못했습니다.

시스템 프롬프트는 언젠가 노출될 문서로 취급합니다. 키, 내부 URL, 고객 정보를 넣지 않습니다.
가치가 큰 로직은 프롬프트 문장이 아니라 서버 코드와 도구 호출 권한으로 구현합니다.
API 기반 모델 추출(대량 질의를 통한 증류)은 질의량 제한과 이상 질의 탐지로 대응합니다.

네이티브앱 방어

데스크톱: Electron 계열

수단	실제 효과
ASAR 패키징	배포 형식일 뿐입니다. 표준 도구로 추출하면 JS 가 그대로 읽힙니다.
ASAR 무결성 검사	변조 탐지 용도입니다. 코드를 숨기지 않습니다.
V8 바이트코드(bytenode, electron-vite)	가장 강한 선택지로 평가되지만 제약이 있습니다. `Function.prototype.toString` 이 깨지고, 화살표 함수 관련 충돌 사례가 보고되었으며, 민감 문자열은 따로 보호해야 합니다. 공개 디컴파일러가 존재한다는 주장은 난독화 제품 판매사의 글이라 감안이 필요합니다.

REA 는 Electron 앱의 모듈, import, 소스맵, 라우트, IPC, 네이티브 애드온 관계를 실행 없이 정적으로 추적한다고 밝히며 Notion 클립보드 브리지 추적을 사례로 듭니다. V8 바이트코드 변환이 이 경로를 얼마나 막는지는 확인된 자료가 없습니다. IPC 채널은 렌더러에서 호출할 수 있는 권한 경계이므로 메인 프로세스 쪽에서 입력 검증과 권한 확인을 하는 것이 안전합니다.

결론은 웹과 같습니다. 라이선스 검증, 가격 계산, 권한 판정은 서버에서 수행하고 클라이언트는 표시와 입력만 맡깁니다.

컴파일 언어 바이너리(C++, Rust, Go)

심볼 제거와 디버그 정보 제거는 비용이 거의 없으므로 기본으로 적용합니다. 다만 BinaryAudit 과 CrackMeBench 가 보듯 에이전트는 심볼이 적은 바이너리도 상당히 분석합니다.
상용 보호기의 코드 가상화는 현재 가장 강한 계층이지만 자동 해제 연구가 진행 중입니다. DragonSlayer 발표는 중첩 VM 보호기 분석 시간이 주 단위에서 시간 단위로 줄었다고 주장합니다(발표자 주장).
보호기에는 성능 저하와 보안 제품 오탐 같은 일반적인 부작용이 따르므로 보호할 함수만 선택적으로 적용하는 방식이 현실적입니다.

모바일: 계층 방어와 기기 증명

MASVS-RESILIENCE 의 계층(난독화, 안티디버깅, 변조 방지, RASP)은 MASTG 의 Android·iOS 시험 절차로 검증합니다.
Play Integrity 와 App Attest 같은 증명은 서버가 검증해야 의미가 있습니다. 서버 발급 nonce 로 요청을 묶고 재생 방지(카운터 기반 등)를 구현해야 합니다.
Google 안내에 따르면 대량 남용자는 실제 기기에서 유효한 증명 결과를 만들어 봇에 공급하는 경우가 많습니다. 증명은 속도 제한과 기기별 활동 모니터링과 함께 써야 합니다.
시뮬레이터에서는 App Attest 가 운영 수준의 보증을 주지 못합니다.

온디바이스 AI 모델 보호

모델 가중치는 앱에서 가장 값비싼 자산일 수 있고, 기기에 들어가는 순간 복제 대상이 됩니다. 실측 연구는 일관되게 암호화만으로는 부족하다고 말합니다.

연구	발견
Mind Your Weight(s)	ML 기능이 동작한 29개 앱 중 18개(66%)에서 모델 추출. 파일 암호화 기반 보호를 견고하게 만들기 어렵다고 결론.
REOM	컴파일된 TFLite 모델을 디버깅 가능한 형태로 되돌려 244개 모델에서 92.6% 성공. 화이트박스 공격 성공률이 10.23%에서 89.03%로 상승.
온디바이스 추론 보호 체계 리뷰	자동 재사용 도구가 상위 1,511개 앱 중 1,250개(82.73%)의 모델을 재사용. 암호화와 난독화는 재사용 공격에 불충분하다고 정리.
THEMIS · MITRE ATLAS 사례	암호화된 TFLite 도 런타임 API 호출 추적과 메모리 속 복호화 데이터 캡처(Frida 등)로 회수됨.

각 수치는 연구마다 표본과 방법이 달라 서로 비교할 수 없습니다.

방어 수단

모델·라이브러리 난독화: ModelObfuscator 는 모델 파일과 TFLite 라이브러리를 함께 난독화해 파서 동작을 막습니다. 런타임 추적에는 한계가 있습니다.
워터마크: THEMIS 는 배포 후 온디바이스 모델에 워터마크를 넣는 방식입니다. 방어가 아니라 유출 후 소유권 입증이 목적이며, 실제 앱 403개의 81.14%를 보호했다는 보고는 이차 요약 기준이라 원문 확인이 필요합니다.
TEE(신뢰 실행 환경): 가중치를 보호 영역에서 실행합니다. ASGARD(NDSS 2025)는 가상화 기반 TEE 에서 NPU 를 보안 I/O 로 패스스루합니다. TrustZone 기반 LLM 설계는 TEE 메모리 한계를 파이프라인 복원으로 풉니다. Amulet 은 TEE 안에서 변환한 가중치를 비보호 메모리에 두고 가속합니다. 전체 모델을 TEE 안에서 돌리면 GPU 대비 최대 50배 느리다는 보고가 있습니다. 모두 학술 연구이고 상용 기기 지원 범위는 확인하지 못했습니다.

권장 판단 순서

모델 가치가 높고 지연 요건이 허용하면 서버 추론을 택합니다.
기기 내 추론이 필수이면 유출되어도 감당 가능한 모델(공개 모델 파인튜닝, 작은 모델)을 배포하고, 차별 요소는 데이터·서비스·업데이트 체계에 둡니다.
핵심 층만 서버로 분할하거나 TEE 에서 실행하는 분할 구성을 검토합니다.
어느 경우든 워터마크 또는 핑거프린트와 이용 약관으로 사후 대응 수단을 마련합니다.

방어자의 AI 활용

자체 산출물 레드팀: 릴리스 산출물(번들, 설치 파일, APK)을 JS 난독화 해제 도구, Ghidra MCP 에이전트, REA 같은 범용 에이전트 도구로 직접 분석해 봅니다. 키, 엔드포인트, 프롬프트, 라이선스 판정 로직이 복원되는지가 합격 기준이며 릴리스 전에 반복할 수 있습니다. 대상은 자사가 소유하거나 분석 권한이 있는 산출물로 한정하고, 분석 결과가 모델 제공자에게 전달된다는 점(데이터 정책)을 미공개 산출물에서는 먼저 확인합니다.
역공학 에이전트에 대한 프롬프트 주입: 관련 개념 증명 연구는 컴파일 후에도 남는 무의미한 문자열 대입에 지시문을 심어 Ghidra 기반 LLM 분석을 오도할 수 있음을 보였습니다. 정량 결과가 없는 초기 연구이므로 방어 수단으로 의존하지 않습니다. 오히려 분석 파이프라인을 만드는 쪽에서는 디컴파일 출력을 신뢰할 수 없는 입력으로 취급해야 한다는 시사점이 큽니다.

자산별 권장 조치

자산	1순위	보조 조치	기대하지 말 것
모델 제공자 API 키	서버 보관, 인증된 중계	단기 토큰, 쿼터, 비용 경보	난독화로 키 숨기기
핵심 비즈니스 로직	서버 이전	클라이언트 최소 난독화	WASM·바이트코드만으로 보호
라이선스·결제·권한	서버 판정	기기 증명(서버 검증)	클라이언트 내 검사 단독
시스템 프롬프트	비밀을 넣지 않기, 로직은 서버 코드로	프롬프트 보호 기법, 질의 제한	프롬프트를 말하지 말라는 지시
온디바이스 모델 가중치	서버 추론 또는 유출을 감당할 수 있는 모델	TEE, 모델 난독화, 워터마크	파일 암호화 단독
소스 코드	소스맵·산출물 점검 자동화	배포 허용 목록	번들러 기본값 신뢰

출시 전 점검 목록

번들·패키지에 소스맵, 환경 파일, 비밀값, 내부 주소가 없는지 CI 가 확인합니다.
클라이언트에서 호출하는 모든 API 가 인증과 사용자별 한도를 갖습니다.
BaaS 의 행 단위 접근 정책이 켜져 있고 공개 키로 읽기·쓰기가 막힙니다.
시스템 프롬프트가 유출되어도 피해가 없는지 검토했습니다.
릴리스 산출물을 JS 난독화 해제 도구나 REA 같은 범용 에이전트 도구로 분석해(자사 소유 산출물 한정) 남는 정보를 확인했습니다.
호출 규격이 모두 공개되어도 서버 API 가 인증, 권한, 한도로 안전한지 확인했습니다.
온디바이스 모델이 있다면 유출을 가정한 시나리오와 사후 대응(워터마크, 약관)이 준비되어 있습니다.

조사의 한계

웹 검색과 일부 초록 열람 기반입니다. 다수 논문은 초록·요약 수준으로만 확인했고 본문 수치는 검증하지 못했습니다.
벤더 블로그, 이차 요약, 자체 평가 수치가 섞여 있습니다. 본문에서 해당하는 곳마다 표시했습니다.
LLM 의 난독화 해제 성능을 상용 도구와 직접 비교한 공개 결과는 찾지 못했고, 가상화 보호기에 대한 LLM 종단 해제 근거도 찾지 못했습니다. 찾지 못했다는 것이 부재의 증명은 아닙니다.
REA 항목은 저장소 README 를 요약 도구로 읽은 내용과 2차 해설에 의존합니다. README 에서 Frida 언급은 보이지 않았으나 전문 대조는 하지 않았습니다. 스타 수와 포크 수는 시점별로 크게 달라 스냅샷으로만 보아야 하며, 도구를 직접 실행해 성능을 검증하지는 않았습니다.
Tauri, Unity IL2CPP, 게임 안티치트, DRM 은 이번 범위에 넣지 않았습니다.
수치는 2026-10-18 시점 검색 결과입니다. 보도에 따라 다른 수치는 원문 확인 후 인용하기 바랍니다.