정적 분석기는 C/C++ 프로그램의 취약점 탐지에 널리 쓰이지만, CodeQL 같은 질의 기반 분석기는 여전히 위양성(FP)과 위음성(FN) 문제를 겪는다. 이 논문은 합성된 C/C++ 프로그램의 실행 근거를 활용해 CodeQL 질의를 자동으로 개선하는 에이전틱 프레임워크 ARQ를 제안한다. 핵심 통찰은 합성 프로그램의 실제 실행 결과가 질의의 판정과 불일치할 때마다 질의의 약점이 드러난다는 것이다. ARQ는 이런 불일치를 정답 삼아 LLM 기반 개선 루프로 질의를 수정하며, 라벨링된 데이터셋이나 커밋 이력, 취약점별 템플릿이 필요 없다. GPT-5.4, Claude-Sonnet-4.6, Gemini-3.5-flash 세 상용 LLM으로 공식 CodeQL 질의 12개를 개선한 결과, Juliet v1.3과 FormAI v2 데이터셋에서 정밀도 최소 98.0%를 유지하며 참양성 탐지를 최대 119.8% 늘렸다. ARQ는 27개월간 미해결이던 공식 CodeQL 저장소의 깃허브 이슈 3건을 해결했고, 실제 라이브러리 libpng·zlib에서 이전에 발견되지 않은 버그 2건도 찾아냈다.

• •ARQ: 합성 프로그램 실행 결과와 CodeQL 질의 판정의 불일치를 근거로 질의를 자동 개선하는 에이전틱 프레임워크
• •라벨링 데이터셋·커밋 이력·취약점별 템플릿 불필요, LLM 기반 개선 루프로 동작
• •GPT-5.4·Claude-Sonnet-4.6·Gemini-3.5-flash로 공식 CodeQL 질의 12개 개선
• •Juliet v1.3·FormAI v2에서 정밀도 98.0%+ 유지하며 참양성 탐지 최대 119.8% 증가
• •27개월 미해결 공식 CodeQL 깃허브 이슈 3건 해결, libpng·zlib에서 신규 버그 2건 발견