[AIS 2025] 스패로우 윤종원 CTO

서울 역삼동 한국과학기술회관 국제회의실에서 열린 데일리시큐 주최 인공지능  보안 컨퍼런스 ‘AIS 2025(Artificial Intelligence Security Conference 2025)’는 올해도 인공지능과 보안의 교차점에 선 최신 이슈들을 심도 있게 다뤘다. 공공기관, 금융권, 대기업의 정보보호책임자와 실무자 600여 명이 참석한 가운데, 생성형 AI가 가져온 개발 패러다임의 변화와 그에 따른 보안 리스크 대응 방안이 집중 논의됐다.

이날 스패로우(Sparrow. 대표 장일수) 윤종원 CTO는 “AI를 통한 개발 자동화가 효율성을 높이는 동시에 공급망 보안 위협을 가속화하고 있다”며, 생성형 AI 환경에서 안전한 코드 생성과 보안 테스트 자동화의 중요성을 강조했다. 그는 “AI가 코드를 생성하더라도 그 결과물은 사람이 책임져야 한다”고 말하며, AI 시대의 보안 거버넌스 방향을 제시했다.

■생성형 AI, 생산성과 함께 보안 리스크도 급상승

윤종원 CTO는 포브스와 액센추어의 최신 자료를 인용하며, AI 도입이 운영 비용을 최대 37% 절감하고 생산성을 40%까지 높일 수 있다고 설명했다. 그러나 이러한 효율성 이면에는 새로운 형태의 보안 리스크가 존재한다고 지적했다.

그는 “AI를 통한 코드 생성과 자동화가 일반화되면서 개발 속도는 빨라졌지만, 그만큼 코드의 검증 과정이 소홀해지고 있다”며 “생성형 AI가 만든 코드가 보안 가이드라인을 위반하거나, 취약한 오픈소스 구성 요소를 포함할 가능성이 높다”고 경고했다.

윤 CTO는 실제 예시로 “AI가 ‘파일에 내용을 추가하는 자바 유틸리티 코드를 만들어달라’는 단순한 요청에 대해 입력값 검증이 없는 코드를 생성한 사례”를 보여주며, 이는 곧 보안 취약점을 내포한 상태에서 배포될 수 있음을 지적했다.

■오픈소스 의존 증가와 공급망 공격의 확대

윤 CTO는 최근 NIPA 오픈소스 시장동향 보고서를 언급하며 “AI 개발 환경에서는 오픈소스 라이브러리 사용이 폭증하고 있지만, 이로 인한 공급망 보안 리스크 역시 커지고 있다”고 설명했다.

그는 “예를 들어 AI가 Maven의 pom.xml 설정 파일을 자동으로 생성할 때, 이미 취약점이 보고된 Apache Commons 라이브러리를 포함시키는 경우가 있다”며 “이러한 자동화 과정은 편리하지만 동시에 공격자에게는 새로운 진입로를 제공한다”고 말했다.

윤 CTO는 특히 최근 가장 뜨거운 보안 이슈로 ‘소프트웨어 공급망 공격(Supply Chain Attack)’을 꼽으며, 생성형 AI의 활용이 이 공격 벡터를 더욱 복잡하게 만들고 있다고 강조했다.

[AIS 2025] 스패로우 윤종원 CTO 강연현장

■“AI가 만든 코드도 보안 테스트는 필수”

강연의 핵심 메시지는 “AI가 만든 코드라고 해서 안전한 것은 아니다”였다. 윤 CTO는 생성형 AI를 활용한 개발 방식에서도 보안 테스트 단계를 반드시 거쳐야 한다고 강조했다.

그는 “AI의 도움으로 개발 속도가 빨라진 만큼, 기존의 수동적 보안 점검으로는 속도를 따라잡을 수 없다”며 “자동화된 애플리케이션 보안 테스팅 기술이 AI 개발 워크플로우에 자연스럽게 통합되어야 한다”고 말했다.

이를 위해 스패로우는 AI 코드 생성부터 배포까지의 전 과정에서 보안 점검을 자동화하는 ‘AI-DevSecOps’ 접근법을 제시했다. 개발 생명주기(SDLC) 전체에 걸쳐, 생성된 코드의 취약점 분석과 구성 요소의 실시간 모니터링, 실행 산출물에 대한 보안 테스트가 이뤄져야 한다는 설명이다.

■SBOM을 넘어 AI BOM으로…새로운 투명성의 시대

윤 CTO는 소프트웨어 공급망 보안의 진화 방향으로 ‘SBOM(Software Bill of Materials)’에서 ‘AI BOM’으로의 전환을 제시했다.

그는 “이제는 코드뿐 아니라 AI 모델 자체도 구성요소로 간주해야 한다”며 “AI BOM은 모델의 버전, 학습 데이터, 프롬프트, 서드파티 라이브러리까지 모두 추적 가능한 형태로 관리하는 체계”라고 설명했다.

이러한 AI BOM 체계는 취약점 관리, 보안 사고 대응, 규정 준수, 감사 효율화 등 다양한 측면에서 효과적이라며, “보안의 투명성을 높이고, 공급망 전반의 신뢰성을 강화할 수 있다”고 강조했다.

■“AI와 보안의 균형이 미래 경쟁력이다”

윤종원 CTO는 발표를 마무리하며 “AI는 생산성을 높이는 도구이지만, 보안이 뒷받침되지 않으면 혁신은 곧 리스크가 된다”고 말했다.

그는 “GenAI 시대의 핵심은 ‘속도’가 아니라 ‘안전한 자동화’”라며 “AI 모델과 코드, 오픈소스 구성 요소를 모두 포함하는 통합적인 보안 체계가 향후 소프트웨어 생태계의 신뢰를 결정할 것”이라고 강조했다.

이번 AIS 2025에서 스패로우 윤종원 CTO는 생성형 AI가 주도하는 소프트웨어 개발 환경에서 공급망 보안의 중요성을 재조명했다. AI가 생성한 코드의 검증, 오픈소스 구성요소 관리, 자동화된 보안테스트, 그리고 SBOM을 넘어선 AI BOM의 도입은 모두 “AI와 함께 안전하게 일하기 위한 필수 조건”이라고 강조했다.

출처 : 데일리시큐(https://www.dailysecu.com)