에스코어 인사이트
원문 번역에 앞서 국내 개발/보안 조직에서 확인해볼 관점만 간단히 정리했습니다.
•
AI 자산을 기존 공급망 관리 범위에 포함하고 유입 경로와 사용처를 추적
•
개발 환경에 들어오기 전에 출처·이력·무결성·사용 조건을 검증
•
도입 시점의 일회성 점검이 아니라 변경 관리와 런타임 모니터링까지 지속 운영
인공지능은 기존 소프트웨어 구성요소를 넘어 소프트웨어 공급망의 범위를 확장하고 있으며, 보안 책임자들이 소프트웨어 거버넌스 방식을 다시 생각하게 만드는 새로운 의존성을 도입하고 있습니다.
현대 AI 애플리케이션은 점점 더 파운데이션 모델, 학습 데이터셋, 벡터 데이터베이스, AI 에이전트, 오케스트레이션 프레임워크, 제3자 AI 서비스에 의존합니다. 이러한 자산은 오픈소스와 마찬가지로 소프트웨어 제공에 중요한 요소가 되었습니다.
이 변화는 기존 소프트웨어 보안 프로그램이 관리하도록 설계되지 않았던 완전히 새로운 공급망을 만들었습니다.
많은 조직은 소프트웨어 구성 분석(SCA), 소프트웨어 자재 명세서(SBOM), 정책 기반 거버넌스를 통해 소프트웨어 공급망 보안을 강화해 왔습니다. 이러한 기존 역량은 여전히 중요하지만, AI는 보안 책임자들이 일반적인 소프트웨어 구성요소를 넘어 관심 범위를 확대하도록 요구하는 새로운 공격 경로를 가져옵니다.
AI는 소프트웨어 공급망을 확장했습니다
그동안 소프트웨어 공급망 보안은 주로 개발자가 애플리케이션에 의도적으로 추가한 다음 구성요소에 초점을 맞췄습니다.
•
오픈소스 패키지
•
컨테이너
•
제3자 라이브러리
•
빌드 파이프라인
AI는 이 목록을 크게 확장합니다.
오늘날 AI 기반 애플리케이션은 사전 학습된 파운데이션 모델, 외부에서 확보한 데이터셋, 검색 시스템, 에이전트 프레임워크, 모델 오케스트레이션 플랫폼, 외부 AI API에 의존할 수 있습니다. 각각은 고유한 신뢰 가정, 출처와 이력 관리 문제, 보안 위험을 수반합니다.
AI 자산은 새로운 유형의 제3자 의존성이 되고 있습니다. 그러나 소프트웨어 구성요소와 달리 기존 보안 도구로 검사, 검증, 조치하기 어려운 경우가 많습니다.
예방은 그 어느 때보다 중요합니다
AI는 조치 비용의 경제성을 바꿉니다. 기존 소프트웨어에서는 취약한 의존성을 업그레이드하거나 교체할 수 있는 경우가 많습니다.
AI는 항상 그런 방식으로 대응할 수 있는 것은 아닙니다.
보안 책임자는 오랫동안 소프트웨어가 개발 환경에 들어온 뒤 취약점을 탐지하고 수정하는 데 집중해 왔습니다. 그러나 손상된 데이터셋이나 오염된 모델이 AI 시스템에 포함되면 조치는 훨씬 더 많은 비용과 운영 중단을 유발할 수 있습니다.
조직이 모델, 데이터셋, AI 서비스에 대한 신뢰를 공급망 상류에서 더 일찍 확립할수록 나중에 해소하기 어렵거나 불가능한 위험을 상속할 가능성이 낮아집니다.
AI 공급망 보안에는 전 생애주기 거버넌스가 필요합니다
AI 보안은 특정 시점의 일회성 활동으로 다룰 수 없습니다. 기존 소프트웨어 보안은 배포 전에 산출물을 검사하는 데 중점을 두는 경우가 많지만, AI는 지속적으로 변화하는 자산을 도입합니다.
모델은 업데이트되고, 데이터셋은 변경됩니다. 에이전트는 외부 도구를 동적으로 호출하며 런타임 동작은 개발 단계의 예상과 다를 수 있습니다.
보안 책임자는 다음을 포함해 전체 AI 생애주기에 걸친 거버넌스가 필요합니다.
•
AI 자산 식별 및 인벤토리화
•
모델과 데이터셋의 출처와 이력 확립
•
도입 전 모델 무결성 검증
•
AI 에이전트의 런타임 동작 관리
•
배포 후 AI 시스템의 지속적 모니터링
이는 단순히 애플리케이션 보안의 새로운 유형을 추가하는 문제가 아니라 더 광범위한 거버넌스 과제입니다.
확장된 소프트웨어 공급망을 보호하려면
AI는 소프트웨어 구축 방식뿐 아니라 조직이 신뢰해야 하는 대상도 바꾸고 있습니다.
소프트웨어 공급망은 더 이상 오픈소스 패키지, 컨테이너, 라이브러리에서 끝나지 않습니다. 이제 모델, 데이터셋, AI 에이전트, 오케스트레이션 프레임워크, 외부 AI 서비스까지 확장됩니다. 이러한 자산이 현대 애플리케이션의 기반이 될수록 조직은 기존 소프트웨어 구성요소에 적용하던 것과 같은 수준의 가시성, 거버넌스, 보안을 적용해야 합니다.
보안 책임자에게 과제는 더 이상 소프트웨어만 보호하는 것이 아닙니다. 점점 복잡해지는 소프트웨어와 AI 의존성 생태계를 보호해야 합니다. 조직은 AI 자산이 개발에 유입되기 전에 신뢰를 확립하고, 전체 생애주기 동안 지속적으로 관리하며, 변화하는 상태를 모니터링해야 합니다.
이 과제에 대해 자세히 알아보려면 Gartner
보고서 ‘5 Steps to Secure Your AI Supply Chain’을 다운로드하세요. 이 보고서는 AI를 엔드투엔드 공급망으로 관리해야 하는 이유와 AI 생애주기 전반의 거버넌스 강화, 가시성 향상, 위험 감소를 위한 다섯 가지 실질적 권고안을 설명합니다.
보고서 ‘5 Steps to Secure Your AI Supply Chain’을 다운로드하세요. 이 보고서는 AI를 엔드투엔드 공급망으로 관리해야 하는 이유와 AI 생애주기 전반의 거버넌스 강화, 가시성 향상, 위험 감소를 위한 다섯 가지 실질적 권고안을 설명합니다.2026년 3월 24일, Gartner, 5 Steps to Secure Your AI Supply Chain, Angela Zhao, Deepti Gopal, Esraa ElTahawy, Rahul Balakrishnan
GARTNER는 미국과 기타 국가에서 Gartner, Inc. 및/또는 그 계열사의 등록 상표이자 서비스표이며 허가를 받아 사용되었습니다. 모든 권리는 보호됩니다.
에스코어는 Sonatype 공식 파트너로서 소프트웨어 공급망 보안 및 오픈소스 거버넌스 구축을 지원합니다.
도입이나 구축이 필요하시면 언제든 문의해 주세요.
지원 솔루션: Nexus Repository · Repository Firewall · Lifecycle · Sonatype Guide