TL;DR

BugTraceAI CORE-Ultra는 Qwen3.6 27B를 기반으로 Supervised Fine-Tuning과 LoRA를 결합해 보안 툴링 산출물을 직접 생성하도록 특화된 모델이다. 학습에는 2,541개의 실제 버그바운티 리포트와 CVE writeup이 사용되었고 IMatrix 보정 기반의 Q4_K_S 및 Q6_K 양자화로 서버급 고충실도와 소비자 GPU 실행 가능성을 모두 제공한다. 결과적으로 모델은 Nuclei 템플릿과 CVE PoC 같은 실행 가능한 아티팩트를 반복적으로 생성하는 능력을 보이며 벤치마크에서 툴링 항목 5/5 PASS와 0% 거부율을 보고했다. 한편 모델 사용은 권한 있는 보안 연구 목적으로 제한되어야 하며 복잡한 추론 중심 작업은 동일 조직의 다른 모델을 권장한다.

핵심 포인트

• 이 모델은 일반적인 추론·분석 위주의 LLM과 달리 실행 가능한 보안 툴링 아티팩트를 생성하도록 특화되었다. README는 Nuclei 템플릿·CVE PoC·JWT 크래커 같은 즉시 실행 가능한 산출물을 반복적으로 생성하는 것을 핵심 목표로 명시했다. 이 점은 동일 조직의 Apex 같은 추론 중심 모델과 명확히 역할을 구분하는 차별점이다.
• 도메인 데이터로 구성된 비교적 소규모(2,541개)지만 고품질의 실제 사례 기반 SFT가 적용되었다. 이 데이터 구성은 '실무적 재현성'을 우선해 출력의 실행 가능성을 높였다는 근거를 README에서 제시하고 있다. 또한 LoRA rank 16과 낮은 에폭 조합은 파라미터 효율성을 유지하면서 도메인 특화 행동을 얻는 방식으로 차별화되었다.
• IMatrix 가이디드 양자화 전략을 통해 소비자 GPU에서의 실행 가능성과 서버급 고품질 옵션을 함께 제공한다. README는 Q4_K_S와 Q6_K 두 변형을 명시해 사용자가 성능·자원 제약에 따라 선택할 수 있게 구성되었다. 이로 인해 동일한 모델 계열에서 고충실도와 경량화 버전의 운영을 모두 지원하는 점이 실무적 차별화 요소이다.
• 도메인 특화 SFT 데이터셋으로 실무형 툴링 출력을 얻기 위해 설계되었다. 2,541개의 실제 리포트와 CVE 사례를 사용해 PoC·템플릿·공격 도구 산출물의 품질을 끌어올렸다는 근거가 README에 제시되어 있다. 이로 인해 설명 중심 모델보다 즉시 실행 가능한 산출물을 더 안정적으로 생성하는 우위가 있다.

벤치마크