에스코어 인사이트
원문에 앞서 국내 개발·보안·플랫폼 조직이 함께 점검할 만한 사항을 간단히 정리했습니다.
•
Shift Left의 초점을 스캔 시점에서 의사결정 시점으로 확장: AI가 컴포넌트와 버전을 더 빠르게 선택하는 만큼, 위험이 들어온 뒤 찾는 것만으로는 충분하지 않습니다. 선택 순간에 최신 보안·품질·정책 정보를 제공해야 합니다.
•
취약점 건수보다 실제 노출과 처리 흐름을 우선 점검: 발견 건수가 늘어도 검증·우선순위 결정·조치 속도가 따라오지 못하면 백로그만 커집니다. 도달 가능성, 악용 가능성, 실제 운영 영향 등을 기준으로 조치 대상을 좁혀야 합니다.
•
AI 개발 속도에 맞는 가드레일을 개발 도구 안에 배치: 개발자와 AI 에이전트가 의존성을 선택하고 설정을 바꾸는 도구 안에서 바로 가이드를 제공하면 뒤늦은 재작업과 수동 검토 부담을 줄일 수 있습니다.
Sonatype 원문 번역
가장 시급한 문제는 AI가 취약한 코드를 작성할 수 있다는 사실 자체가 아닙니다. AI 코딩 어시스턴트와 에이전트는 더 짧은 시간에 더 많은 소프트웨어 관련 결정을 내릴 수 있습니다. 예를 들면 다음과 같습니다.
•
오픈소스 컴포넌트를 선택합니다.
•
특정 버전과 전이 의존성을 추가합니다.
•
설정을 변경합니다.
•
빌드 워크플로를 수정합니다.
애플리케이션 보안(AppSec) 팀이 받는 압박도 달라졌습니다. 보안팀의 과제는 단순히 더 많은 문제를 더 일찍 찾는 데 그치지 않습니다. 어떤 발견 항목이 실제 노출로 이어지는지 판단하고, 위험이 애플리케이션에 들어오기 전에 개발자가 더 안전한 선택을 하도록 돕고, AI 지원 개발 속도를 따라갈 수 있을 만큼 빠르게 중요한 문제를 해결해야 합니다.
Mythos는 우려했던 위기를 현실로 만들지 않았지만, 병목을 드러냈다
Anthropic이 올해 초 Mythos와 Project Glasswing을 발표했을 때 보안 업계는 프런티어 모델이 기존 취약점 관리 프로세스가 감당하기 어려운 규모로 취약점을 찾아내고 잠재적으로 악용할 수 있다고 예상했습니다.
공개적으로 확인된 범위에서는 최악의 시나리오가 현실화되지 않았습니다. 다만 오픈소스 영역에서는 취약점 공개가 늘고, 검증·패치·테스트·배포 과정이 병목으로 떠오르는 현상이 분명히 나타나고 있습니다.
단기적으로는 공격자보다 방어자 쪽의 변화가 더 두드러집니다. 성능이 향상된 AI 모델은 취약점 발견과 소프트웨어 개발을 동시에 가속하며 소프트웨어 공급망 전반에서 내려야 할 의사결정도 늘립니다. AppSec 프로그램은 두 변화에 모두 대비해야 합니다.
준비됐다는 자신감과 실제 운영 데이터에는 차이가 있다
우려는 분명했지만 모든 응답자가 같은 수준으로 걱정한 것은 아니었습니다. IDC 조사 결과는 다음과 같습니다.
•
40.1%는 Mythos와 같은 모델이 훨씬 더 많은 취약점을 찾아낼 가능성을 매우 또는 극도로 우려했습니다.
•
26.5%는 어느 정도 우려한다고 답했습니다.¹
대응 준비가 되어 있다는 응답은 많았습니다. 약 87%는 AI로 발견되는 취약점이 크게 늘어나는 상황에 최소한 어느 정도 대비하고 있다고 답했고, 37.2%는 대규모로 발견 항목을 검증하고 우선순위를 정해 조치할 준비가 매우 잘되어 있다고 답했습니다.²
하지만 실제 운영 데이터는 응답자들이 밝힌 준비 상태와 일치하지 않습니다. IDC 조사에서 55.6%의 조직은 알려진 Critical 등급 애플리케이션 보안 취약점이 있는 상태로 운영 환경에 배포하는 경우가 적어도 가끔 있다고 답했습니다. 거의 3분의 1은 매월 또는 일상적으로 그렇게 하고 있었습니다.³
모든 Critical 발견 항목이 출시를 막아야 하는 것은 아닙니다. 하지만 심각도만으로는 실제 노출을 판단할 수 없습니다. 조직이 실제로 준비되어 있으려면 가장 중요한 취약점의 우선순위를 정하고, 취약점 발견 속도의 증가가 운영 위험으로 이어지기 전에 해결해야 합니다.
더 많이 발견한다고 보안이 좋아지는 것은 아니다
대부분의 AppSec 팀은 이미 상당한 백로그를 관리하고 있습니다. IDC 조사 응답자의 절반 이상은 미해결 애플리케이션 보안 발견 항목이 1,000건 이상이라고 답했고, 26%는 5,000건 이상이라고 답했습니다. 문제는 양만이 아니라 유입과 처리의 균형입니다. 일반적인 한 달을 기준으로 조직의 39.8%는 조치한 건수보다 새로 들어온 발견 항목이 더 많았고, 새 발견 항목보다 빠르게 조치하는 조직은 20.4%에 그쳤습니다.⁴
AI를 활용한 취약점 발견으로 기존 처리 체계에 더 많은 항목이 들어올 수 있습니다. 검증, 우선순위 결정, 조치 역량이 함께 개선되지 않으면 백로그의 규모와 적체 기간만 늘어납니다.
취약점 발견 속도만 높아지고 검증·우선순위 결정·조치가 따라가지 못하는 상황에서는 AI 시대의 Shift Left의 의미도 달라집니다. 문제를 일찍 찾는 일은 여전히 중요하지만, 스캔을 보안 프로세스의 끝으로 보는 방식만으로는 충분하지 않습니다. 보안팀은 단순히 존재하기만 하는 발견 항목과 실제 노출로 이어지는 발견 항목을 구분할 수 있도록 최신 정보를 확보해야 합니다. 더 안전한 컴포넌트, 버전, 설정 또는 코드 변경으로 이어지는 명확한 조치 경로도 필요합니다.
모든 개발자가 보안 분석가가 되거나 모든 출시가 수동 검토 대기열을 거치게 할 필요는 없습니다. 중요한 것은 의사결정이 이루어지는 순간에 더 안전한 선택을 쉽게 할 수 있도록 만드는 것입니다.
AI는 소프트웨어 생애주기 전반의 보안 업무를 늘리고 있다
AI 코딩 도구는 이미 널리 사용되고 있습니다. IDC 조사에 따르면 약 99%의 조직이 AI 코딩 도구를 폭넓게 사용하고 있거나, 사용을 승인했거나, 시범 적용 중이거나, 그 밖의 방식으로 접하고 있습니다. 동시에 90.3%는 향후 12개월 안에 AppSec에서 에이전틱 AI를 사용할 가능성이 높거나 매우 높다고 답했습니다.⁵
AI 코딩 도구의 확산은 이미 운영 방식에 영향을 주고 있어 미래 과제로 미뤄둘 수 없습니다.
조직들은 AI 코딩 어시스턴트와 에이전트가 모든 단계에서 보안 업무량을 늘리고 있다고 답했습니다.
•
67%는 개발 단계에서 보안 발견 항목이 늘었다고 답했습니다.
•
61%는 검토와 조치에 드는 노력이 늘었다고 답했습니다.
•
48%는 운영 환경까지 도달하는 발견 항목이 늘었다고 답했습니다.
•
74.5%는 스캔을 통과하더라도 개발자가 충분히 이해하지 못한 코드를 병합할 위험을 AI 코딩 어시스턴트가 높인다는 데 동의했습니다.⁶
스캔을 통과했다고 해서 개발자나 에이전트가 생성 코드에 포함된 의존성 선택, 설정 변경, 시스템 수준의 영향을 이해했다는 뜻은 아닙니다. AI 도구는 특정 작업을 완료하는 데 매우 효과적일 수 있지만 AI가 가진 정보는 대개 해당 작업 범위에 한정됩니다. 조직에서 승인한 컴포넌트, 보안 정책, 실제 배포 환경, 추천한 각 의존성의 현재 위험 상태를 자동으로 이해하지는 못합니다.
AI 도구가 조직별 보안 정보를 자동으로 이해하지 못하기 때문에, IDC 조사에서도 AI 생성 코드와 에이전틱 워크플로가 AppSec 및 소프트웨어 공급망의 주요 위험으로 꼽혔습니다.⁷ 기존에도 잘 알려진 의존성 위험, 출처·이력 정보 부족, 빌드 통제, 노출된 시크릿과 함께 다뤄야 할 위험입니다. AI가 소프트웨어 공급망 문제를 대체하는 것이 아니라 기존 공급망 문제의 변화 속도를 높이고 있습니다.
의존성이 늘어날수록 보안과 관리 부담도 커진다
Sonatype이 두 오픈소스 프로젝트를 분석한 결과는 기존 검토 프로세스가 AI 개발 속도를 따라가기 어려운 이유를 보여줍니다. 대부분 사람이 개발해 온 성숙한 프로젝트인 Spring Framework의 의존성 트리에는 오픈소스 컴포넌트 764개가 포함되어 있었습니다. 반면 에이전틱 방식으로 개발된 한 오픈소스 프로젝트에는 4개 언어에 걸쳐 2,543개의 의존성이 포함되어 있었고 변화 속도도 훨씬 빨랐습니다.
두 사례가 사람이 개발한 모든 프로젝트나 AI로 개발한 모든 프로젝트를 대표하는 것은 아닙니다. 다만 AI 에이전트는 사람이 검토하는 속도보다 빠르게 수많은 라이브러리에서 컴포넌트를 골라 추가할 수 있습니다. 취약점, 악성코드 캠페인, 유지관리 문제, 정책 변경이 발생했을 때 보안팀이 검토해야 하는 소프트웨어 공급망의 범위도 그만큼 넓어집니다.
Sonatype Research Labs는 동일한 기업 애플리케이션 집단을 추적한 결과, 애플리케이션당 Critical 및 High 취약점 수가 AI 시대에 4.31배 증가해 2026년 평균 54.3개에 도달했다고 분석했습니다. 신규 취약점 어드바이저리도 49개월 동안 4배 늘었습니다. AI가 유일한 원인은 아니지만, 조직은 더 많은 소프트웨어 변경과 더 많은 보안 정보를 동시에 처리해야 하는 상황에 놓였습니다.
이제 Shift Left의 핵심은 의사결정 순간에 필요한 정보를 제공하는 것이다
보안은 나중에 재작업을 낳는 의사결정 시점부터 개입해야 합니다. AI 어시스턴트가 어떤 컴포넌트를 추천하는지, 개발자가 어떤 버전을 선택하는지, 정책 예외가 정당한지, 새로 추가된 의존성이 조직 환경에 적합한지를 판단하는 순간입니다.
의사결정 시점에 보안을 적용하려면 세 가지 역량이 필요합니다.
•
소프트웨어별 최신 정보: 개발자와 AI 시스템이 모델이 학습한 과거 지식에만 의존해서는 안 됩니다. 컴포넌트 위험, 알려진 악성 패키지, 더 안전한 버전의 존재 여부, 유지관리 상태, 조직 정책에 관한 최신 정보가 필요합니다.
•
실제 노출을 반영한 위험 기반 우선순위: 모든 발견 항목을 똑같이 취급하지 말고, 조직 환경에서 도달 가능하거나 악용 가능하거나 실제 영향이 큰 취약점에 조치 역량을 집중해야 합니다.
•
속도와 통제를 함께 지원하는 개발자 워크플로: 개발자와 에이전트가 의사결정을 내리는 도구 안에서 가이드와 정책을 제공해야 합니다. 개발 후반에 또 하나의 차단 단계를 추가하기보다 재작업을 줄일 수 있는 명확한 조치 경로가 필요합니다.
예방과 조치는 양자택일이 아닙니다. 조직에는 둘 다 필요합니다. 이미 운영 중인 소프트웨어에는 더 빠른 취약점 조치가 필수적이며, AI는 오래된 보안 부채 일부를 해결하는 데 도움을 줄 수 있습니다. 하지만 소프트웨어를 구성하는 속도가 빨라질수록 예방의 가치는 더 커집니다. 필요 이상의 위험을 안고 있는 컴포넌트를 처음부터 피하는 편이, 스캔에서 발견한 뒤 백로그에서 분류하고 이미 재작업이 생긴 뒤 수정하는 것보다 낫습니다.
위험을 키우지 않고 AI 속도로 개발하기
Mythos를 둘러싼 논의는 앞으로 취약점 발견 규모가 크게 늘어날 수 있다는 전망에 관심을 모았습니다. 하지만 당장 주목해야 할 점은 취약점 발견 규모가 크게 늘어날 여건이 이미 갖춰지고 있다는 사실입니다. AI는 코드 작성, 의존성 선택, 소프트웨어 변경, 보안 연구를 동시에 가속하고 있습니다.
AppSec 프로그램은 수동 검토와 조치 프로세스에 계속 더 많은 업무를 떠넘기는 방식으로 AI 개발 속도를 따라갈 수 없습니다. 현재 백로그와 배포 관행을 더 명확하게 파악하고, 실제 노출을 기준으로 우선순위를 더 정확히 정하며, 위험이 애플리케이션에 들어오기 전에 개발자와 AI 에이전트가 더 안전한 컴포넌트를 선택하도록 돕는 통제가 필요합니다.
AI 시대의 Shift Left는 더 많은 문제를 더 일찍 찾는 데서 끝나지 않습니다. 소프트웨어 개발에 참여하는 사람과 시스템에 필요한 정보를 제공해 처음부터 불필요한 위험을 피하도록 해야 합니다.
본문에서 소개한 연구와 의존성 분석을 자세히 보려면 IDC Research Director Katie Norton과 Sonatype Field CTO Ilkka Turunen이 참여한 온디맨드 웨비나 What Shift Left Means in the AI Era를 확인하세요.
각주
1.
IDC, DevSecOps and Software Supply Chain Security Survey, July 2026, n=309. 40.1%는 "매우 우려" 27.8%와 "극도로 우려" 12.3%를 합산한 수치입니다.
2.
IDC, DevSecOps and Software Supply Chain Security Survey, July 2026, n=309. "약 87%"는 "매우 잘 준비됨" 37.2%와 "어느 정도 준비됨" 49.5%를 합산한 수치입니다.
3.
IDC, DevSecOps and Software Supply Chain Security Survey, July 2026, n=309. "거의 3분의 1"은 "자주" 21.0%와 "일상적으로" 10.7%를 합산한 수치입니다.
4.
IDC, DevSecOps and Software Supply Chain Security Survey, July 2026, n=309. "절반 이상", "26%", "39.8%", "20.4%"는 설문 응답 범주를 토대로 계산한 수치입니다.
5.
IDC, DevSecOps and Software Supply Chain Security Survey, July 2026, n=309. "약 99%"와 "90.3%"는 설문 응답 범주를 토대로 계산한 수치입니다.
6.
IDC, DevSecOps and Software Supply Chain Security Survey, July 2026, n=309. 67%, 61%, 48%는 "중간 수준 증가"와 "큰 폭 증가" 응답을 합산한 수치입니다.
7.
IDC, DevSecOps and Software Supply Chain Security Survey, July 2026, n=309.
에스코어는 Sonatype 공식 파트너로서 소프트웨어 공급망 보안 및 오픈소스 거버넌스 구축을 지원합니다.
도입이나 구축이 필요하시면 언제든 문의해 주세요.
지원 솔루션: Nexus Repository · Repository Firewall · Lifecycle · Sonatype Guide