Qubes OS는 구성요소 경계가 곧 보안 경계가 되는 구조라, 공개 공지 기록만으로도 시스템의 보안 부담이 어디에 쌓이는지 살펴볼 수 있다. 이 연구는 2011년부터 2025년까지의 공개 Qubes Security Bulletin 109건과 Qubes가 관리하는 Xen Security Advisory 추적표를 바탕으로, 실제 침해나 잠재 취약점 발생이 아니라 공개된 공지 기록 그 자체를 분석했다. 동료검토 전 arXiv 프리프린트다.
분석 틀은 다층적이다. 각 공지의 구성요소 귀속을 결정론적으로 분류하고, 변화점 분석과 과산포 점검을 함께 돌렸으며, 심각도 대용 가중치와 검열 민감도도 확인했다. 여기에 문서화 지연의 하한을 따지고, 취약점 발견 모델의 예측력을 롤링 평균 기준선과 비교했다. 즉, 단순 집계가 아니라 공개 기록이 어떤 방식으로 형성되는지까지 함께 본 셈이다.
핵심 수치는 업스트림 의존성을 분명하게 보여준다. 공식 XSA 추적표의 464건 중 113건이 Qubes에 영향을 미쳤고, 109건의 QSB 가운데 87건(79.8%)은 Xen, CPU/마이크로아키텍처, 또는 다른 업스트림 구성요소에 귀속됐다. 가중치 관점에서도 결과는 비슷했으며, 보수적으로 보면 업스트림 비중은 80.9%로 제시됐다. 반대로 Qubes-core 논리로 묶인 몫은 20.2%였다.
시계열에서는 분기별 공지 흐름의 중심 전환점이 2015년 1분기로 잡혔다. 연간 기록은 초기 몇 년의 작은 바닥에서 2015년에 상향 이동한 뒤, 2018년 이후에는 통계적으로 평탄한 상태로 해석됐다. 2011~2014년의 연간 QSB는 1건, 4건, 3건, 4건이었고, 이후에는 활성 상태를 유지하되 증가세로 이어지지는 않았다. 과산포 진단에서는 포아송 근사가 유지됐고, 음이항 민감도 점검에서도 결론이 바뀌지 않았다.
검증용 수동 감사에서는 30건의 QSB 표본이 쓰였다. 이 중 혼합 제목 사례 10건과 무작위로 뽑은 단일 분류 사례가 포함됐고, 분류 코드는 정확도 96.7%, macro-F1 0.969을 기록했다. 다중 레이블에서는 micro-F1 0.988, samplewise Jaccard 0.983이었다. 반면 취약점 발견 모델은 설명적으로는 S자형 곡선에 맞았지만, 짧은 기간 예측에서는 강한 롤링 평균 기준선을 유의하게 넘지 못했다.
| 항목 | 수치/결과 | 근거 위치 |
|---|---|---|
| 공개 QSB 표본 | 109건, 2011-05-12~2025-08-14 | p.4 3.1 Primary and secondary datasets |
| 공식 XSA 추적표 | 464건 중 113건이 Qubes에 영향 | p.4 3.1 Primary and secondary datasets; p.1 abstract |
| 주요 귀속 결과 | 109건 중 87건(79.8%)이 Xen, CPU/마이크로아키텍처, 기타 업스트림 구성요소 | p.1 abstract; p.8 결과 서술 |
| 변화점과 추세 | 2015Q1이 지배적 분기점, 2018년 이후 연간 공지율은 통계적으로 평탄 | p.1 abstract; p.7 4.1 |
| 검증 성능 | primary-label accuracy 96.7%, macro-F1 0.969; multi-label micro-F1 0.988, Jaccard 0.983 | p.8 및 p.10 Table 2 |
자료: STORIUM 정리
결국 이 논문이 말하는 바는 ‘조용하지는 않지만 안정적’이라는 공개 기록의 성격이다. 공지 활동은 초창기보다 높은 수준에서 평평해졌고, 관측된 부담은 여전히 업스트림 신뢰 앵커에 집중됐다. 이 결과는 Qubes의 내부 결함이 사라졌다는 뜻이 아니라, 공개 보안 공지가 시스템 구조와 업스트림 의존성을 어떻게 반영하는지 보여주는 장기 기록이라는 점을 강조한다.
저작권자 © STORIUM 무단전재 및 재배포 금지
