에스코어 인사이트
원문에 앞서 국내 개발·보안 조직이 함께 점검할 만한 사항을 간단히 정리했습니다.
•
의존성 선택 시점 통제: 개발자와 AI 코딩 도구가 새 컴포넌트나 버전을 추가하기 전에 취약점, 유지보수 상태, 조직 정책을 확인하는 절차를 둡니다.
•
AI 도구 컨텍스트 관리: 모델 지식에만 의존하지 않고 최신 구성요소 위험, 사용 가능한 대체 버전, 조직 정책 정보를 제공하는 검증 경로를 연결합니다.
•
예방 지표 운영: 사후 취약점 처리 속도와 함께, 더 안전한 대안이 있음에도 취약한 의존성을 선택한 비율을 추적해 개발 단계의 보안 개선 효과를 확인합니다.
Sonatype 원문 번역
AI 기반 개발은 소프트웨어 개발 속도를 바꾸고 있지만, 속도만이 전부는 아닙니다.
개발자, AI 어시스턴트, 패키지 매니저, 그리고 점점 더 자율적으로 동작하는 에이전트가 더 빠르게 소프트웨어를 조립하면서 애플리케이션에 들어가는 오픈소스 컴포넌트와 버전에 대해 더 많은 결정을 내리고 있습니다. 동시에 취약점 환경은 계속 변화하고 있습니다.
이러한 변화를 이해하기 위해 Sonatype Research Labs는 2022년 6월부터 2026년 6월까지 지속적으로 모니터링한 고정된 기업 애플리케이션 집단의 4년간 소프트웨어 조립 데이터를 분석했습니다. 동일한 애플리케이션을 시간에 따라 추적해 고객 유입이나 표본 구성 변화와 구분되는 소프트웨어 환경 자체의 변화를 보여줍니다.
수치로 보는 AI 시대의 소프트웨어 공급망
Sonatype의 연구는 여러 측면에서 동시에 변화하는 소프트웨어 보안 환경을 보여줍니다. 취약점 조치와 소프트웨어 개발 속도가 빨라지는 와중에도 애플리케이션에는 더 많은 위험이 축적되고 있습니다.
특히 네 가지 수치가 두드러집니다.
•
애플리케이션당 Critical 및 High 취약점 수가 4.31배 증가했습니다. 이는 평균적인 기업 애플리케이션이 훨씬 더 많은 심각한 위험을 안고 있음을 보여줍니다.
•
새롭게 영향을 받는 컴포넌트 버전은 AI 시대 이전 속도의 46배로 증가해, 평가가 필요할 수 있는 소프트웨어의 규모를 크게 늘렸습니다.
•
취약점 나이의 중앙값은 2024년 1월 정점 대비 59% 감소했습니다. 이는 조직이 취약점에 더 빠르게 대응하고 있음을 보여줍니다.
•
기업의 월평균 애플리케이션 생성 수는 4.84배 증가해 개발 조직 전반에서 내려야 하는 의존성 관련 결정의 수를 크게 늘렸습니다.
이러한 추세를 종합하면, AI 기반 개발 환경에서는 사후 취약점 대응뿐 아니라 애플리케이션에 포함될 컴포넌트를 선택하는 단계부터 보안을 강화해야 합니다.
기업 애플리케이션이 더 많은 위험을 안고 있다
2022년 6월, 분석 대상 애플리케이션에는 애플리케이션당 평균 14.14개의 Critical 및 High 심각도 취약점이 있었습니다. 2026년에는 이 수치가 54.3개로 증가했습니다.
이는 단순히 레거시 애플리케이션의 영향만은 아닙니다. 새롭게 관리 대상에 포함된 레거시 애플리케이션을 제외한 뒤에도 애플리케이션당 위험은 3.91배 증가했습니다.
애플리케이션은 코드가 바뀔 때만 더 위험해지는 것이 아닙니다. 어제까지 허용할 수 있다고 판단한 의존성에서도 내일 새로운 취약점이 공개될 수 있습니다. 컴포넌트의 유지보수가 중단되거나 더 안전한 릴리스가 나올 수도 있습니다. 코드는 그대로여도 보안 프로필은 달라질 수 있습니다.
취약점 환경이 확대되고 있다
Sonatype의 연구 카탈로그에 새로 들어온 취약점 권고는 49개월의 연구 기간 동안 4배 증가했으며, AI 시대가 시작된 이후 모든 달의 수치가 과거 기준선을 넘어섰습니다.
이 결과는 서로 연결된 두 가지 압력을 만듭니다.
•
취약점 권고가 늘어날수록 조직은 새로운 보안 정보를 더 빠른 속도로 받아들이게 됩니다.
•
영향을 받는 컴포넌트 버전이 늘어날수록 이러한 공개 정보가 조사나 취약점 조치가 필요할 수 있는 훨씬 더 많은 소프트웨어에 영향을 줍니다.
이러한 가속이 AI만으로 발생한 것은 아닙니다. 더 나은 취약점 연구, 개선된 공개 절차, AI 지원 보안 연구, 변화하는 공격자 행동 등 여러 요인이 영향을 미쳤을 수 있습니다.
조직이 그 결과에 대응하기 위해 반드시 하나의 원인을 증명할 필요는 없습니다. 문제는 그 규모 자체입니다.
보안팀은 취약점을 더 빠르게 수정하고 있다
이번 연구에서 긍정적인 신호는 취약점 조치가 개선되고 있다는 점입니다.
해결된 위반 사항의 절반 이상이 하루 안에 처리됐고, 해결되지 않은 Critical 및 High 취약점의 나이도 크게 줄었습니다.
데이터는 의미 있는 진전을 보여줍니다.
•
일반적인 미해결 Critical 및 High 취약점의 나이는 AI 시대 동안 45% 감소해, 228일에서 126일로 줄었습니다.
•
2026년 5월에는 이 중앙값이 103일까지 더 감소했습니다.
•
취약점 조치를 위해 최소 12개월의 시간이 있었던 AI 시대 초기 Critical 및 High 취약점 집단에서는 52.6%가 해결, 44.3%가 미해결, 3.1%가 면제(waiver) 처리됐습니다.
자동화는 사후 조치를 더 효율적으로 만듭니다. 하지만 이 조치는 여전히 문제의 원인이 된 컴포넌트를 선택한 뒤에 이뤄집니다. 그래서 예방의 중요성은 점점 커지고 있습니다.
더 안전한 의존성이 이미 존재했던 경우는 얼마나 많았나?
취약점 관리가 빨라지는 동시에 조직은 훨씬 더 많은 소프트웨어를 만들고 있습니다.
연구진은 AI 시대의 애플리케이션에 도입된 취약한 의존성을 살펴보고 다음과 같이 물었습니다. 이 의존성이 선택됐던 시점에 실질적으로 더 낮은 위험의 버전이 이미 존재했는가?
많은 경우 답은 '그렇다'였습니다.
•
Maven: 62.2%
•
npm: 46.9%
•
PyPI: 34.3%
이 결과를 개발자 개인의 문제로 봐서는 안 됩니다.
일부의 경우에는 생태계에 더 안전한 선택지가 없어 피하기 어려운 취약점도 있지만, 필요한 정보가 부족해 문제가 발생하는 경우도 있습니다. 개발자나 AI 어시스턴트가 의존성을 선택할 당시 더 안전한 대안이나 관련 위험 정보를 충분히 알지 못했던 경우입니다.
이 차이는 AI 기반 개발 환경에서 특히 중요해집니다. AI 코딩 어시스턴트는 몇 초 만에 컴포넌트를 추천하고 도입할 수 있습니다. 하지만 빠른 추천이 반드시 충분한 정보를 바탕으로 한 추천은 아닙니다. 어시스턴트는 기반 모델에 내재된 정보뿐 아니라 컴포넌트 위험, 사용 가능한 버전, 유지보수 상태, 보안 정보, 조직 정책에 관한 최신 인텔리전스도 필요합니다.
다음 핵심은 컴포넌트 선택이다
전통적인 취약점 관리는 일반적으로 의존성이 소프트웨어에 들어온 뒤 시작됩니다. 애플리케이션을 스캔하고, 정책을 평가하고, 위반 사항이 드러나면 취약점 조치를 시작합니다.
위험한 컴포넌트가 이미 채택된 경우 이 과정은 여전히 필요합니다. 하지만 이번 연구는 또 다른 기회를 보여줍니다. 피할 수 있는 위험이 사후 조치 작업으로 바뀌기 전에 줄이는 것입니다.
Sonatype Guide는 개발자와 AI 어시스턴트가 이미 소프트웨어 관련 결정을 내리고 있는 위치에 Sonatype의 컴포넌트 인텔리전스를 제공합니다. 나중에 스캔을 수행해 잘못된 컴포넌트나 버전 선택을 찾아내기를 기다리는 대신, Guide는 AI 지원 워크플로를 포함한 개발 과정에서 관련 맥락을 제공하도록 돕습니다.
이는 개발자와 AI 시스템이 다음 항목에 대해 충분한 정보를 바탕으로 결정하도록 돕는다는 뜻입니다.
•
컴포넌트 및 버전 위험
•
사용 가능한 더 안전한 버전
•
정책 및 조직 요구사항
•
최신 소프트웨어 공급망 인텔리전스
그러면 보안 질문도 "우리가 선택한 취약한 의존성을 얼마나 빨리 수정할 수 있는가?"에서 "처음부터 더 안전한 의존성을 선택할 수 있는가?"로 바뀔 수 있습니다.
개발자에게는 필요한 인텔리전스가 코딩 워크플로에 더 가까워지고, AI 어시스턴트에게는 모델 지식만으로 보장할 수 없는 최신 소프트웨어 공급망 맥락이 제공됩니다.
더 빠른 취약점 조치와 더 나은 예방은 함께 가야 한다
이 모든 내용이 취약점 관리의 중요성을 낮추는 것은 아닙니다. 조직은 취약점 조치에서 의미 있는 진전을 이뤘습니다.
AI 규모에서 소프트웨어 공급망 보안의 다음 진화는 취약점을 더 빨리 찾거나 더 빠르게 수정하는 데만 있지 않습니다. 개발자와 함께 일하는 AI 시스템까지 처음부터 더 나은 컴포넌트 결정을 내리도록 돕는 것도 포함됩니다.
"The AI-Era Software Assembly Line" 전체 연구에서 모든 결과와 기반 데이터, 그리고 변화하는 소프트웨어 공급망에 대해 무엇을 보여주는지 확인해 보세요.
또한 Sonatype Guide가 개발자 및 AI 지원 워크플로에 신뢰할 수 있는 컴포넌트 인텔리전스를 제공해 팀이 선택 시점에 더 나은 소프트웨어 결정을 내리도록 어떻게 돕는지도 살펴보세요.
에스코어는 Sonatype 공식 파트너로서 소프트웨어 공급망 보안 및 오픈소스 거버넌스 구축을 지원합니다.
도입이나 구축이 필요하시면 언제든 문의해 주세요.
지원 솔루션: Nexus Repository · Repository Firewall · Lifecycle · Sonatype Guide