[국내보안뉴스] AI 에이전트 시대, AI-BOM 기반의 자동화된 공급망 보안 체계 구축 필요
· 2026-10-25 11:00
· 조회 7
· 원문 ↗
소프트웨어 개발과 운영 전반에 AI 에이전트 활용이 급증함에 따라, 기존 보안 시스템으로는 감지하기 어려운 새로운 AI 공급망 위협이 부상하고 있습니다. 최근 열린 한국정보보호학회 워크숍에서 경기대학교 최윤성 교수는 AI가 스스로 선택한 오픈소스 패키지, 외부 도구, 클라우드 권한 등이 복잡하게 얽히면서 보안 공격 표면이 대폭 확대되고 있다고 지적했습니다.
이러한 AI 공급망 위험은 단순히 소스 코드의 취약점에 그치지 않고 학습 데이터, 모델, 연동 API, 클라우드 접근 권한 등 다차원적 영역으로 확산됩니다. 특정 구성요소 하나만 침해되더라도 복잡한 연계 구조를 타고 전체 시스템으로 피해가 순식간에 확산될 수 있으며, 사람이 일일이 문서를 확인하고 검증하는 기존의 수동 방식으로는 이처럼 빠르게 변하는 위협을 제때 포착하기 어렵습니다.
이를 해결하기 위해서는 수동적 문서 검증에서 벗어나 '기계 기반 자동화 검증 체계'로의 패러다임 전환이 필수적입니다. AI 자산과 연관 요소를 명확히 식별할 수 있는 'AI-BOM(AI Bill of Materials)'을 도입하고, 기계가 즉시 해석하고 실시간으로 통제할 수 있는 자동화 검증 환경을 구축하여 소프트웨어 수명주기 전반의 위험을 선제적으로 관리해야 합니다.
♥ 추천 0
AI 에이전트가 의존성 패키지를 직접 제안하고 코드를 작성하는 환경에서는 기존의 수동 SBOM 방식이 심각한 병목이자 보안 구멍이 됩니다. 이제 CI/CD 파이프라인 내에 AI-BOM을 자동 생성하고, 사용된 모델 무결성과 외부 도구 권한까지 실시간 검증하는 DevSecOps 가드레일 도입이 필수적입니다. 개발팀은 코드 작성부터 배포까지 기계 대 기계(M2M) 검증이 내재화되도록 파이프라인 아키텍처를 시급히 고도화해야 합니다.
AI 에이전트가 개발 전반에 개입함에 따라 디펜던시 콘퓨전이나 데이터 오염을 활용한 '자동화된 공급망 공격'의 실효성이 비약적으로 높아졌습니다. 특히 AI가 부여받은 높은 권한을 악용해 단 한 번의 악성 패키지 유입만으로도 내부 망으로의 횡적 이동(Lateral Movement)과 RCE(원격 코드 실행)가 손쉽게 이뤄질 수 있습니다. 머신 스피드로 전개되는 공격 벡터를 사람이 수동 검증하는 것은 불가능에 가까우므로, 공격 표면 관리를 위한 실시간 AI-BOM 기반의 자동화 검증 체계 도입이 시급합니다.
AI 에이전트 도입으로 급증하는 공급망 위협은 기존의 수동·문서 중심 검증 방식으로는 더 이상 통제하기 어렵습니다. 조직의 리스크 관리를 위해 AI-BOM을 기반으로 한 기계 중심의 자동화 검증 체계를 보안 거버넌스에 조속히 이식해야 합니다. 이를 통해 개발 생산성을 유지하면서도 AI 생태계 전반의 연쇄적 침해 위험을 실시간으로 차단하는 정책적 결단이 필요한 시점입니다.