자바스크립트는 전체 웹사이트의 약 98.8%를 구동해 그 코드의 취약점이 중대한 보안 위험이지만, 기존 정적 애플리케이션 보안 테스트(SAST) 도구는 고립된 코드 스니펫에서 실제 취약점을 잘 탐지하지 못한다. 이 논문은 Gemini 1.5 Flash, GPT-4o Mini, DeepSeek-R1-Distill-Llama-8B 세 LLM 계열을 제로샷·사고연쇄·퓨샷 프롬프팅과 파인튜닝으로 평가해, 인젝션·XSS·SQL 인젝션 등 5개 CWE 카테고리에 걸친 1,125개 자바스크립트 코드 스니펫으로 실험했다. 파인튜닝된 Gemini 1.5 Flash가 60%의 탐지 정확도를 달성해 거의 0%에 가까운 규칙 기반 분석기를 크게 앞섰고, 파인튜닝은 정확도를 29%에서 60%로 끌어올렸다. SQL 인젝션 같은 구조화된 취약점에서는 최대 84% 정확도에 달했으나, 낮은 재현율과 카테고리별 편차 때문에 기존 보안 분석을 대체하기보다 보완하는 용도로 권장된다.

• •파인튜닝된 Gemini 1.5 Flash가 자바스크립트 취약점 탐지에서 60% 정확도로 규칙 기반 SAST를 크게 앞서
• •파인튜닝으로 정확도가 29%→60%로 향상, 사고연쇄은 추론 특화 모델에, 퍼샷은 다형적 취약점에 효과적
• •SQL 인젝션 등 구조화된 취약점에서는 최대 84% 정확도 달성
• •낮은 재현율과 카테고리별 편차로 기존 보안 워크플로를 대체보다는 보완하는 역할 권장