AI 생성 코드 확산으로 오픈소스 취약점·라이선스·공급망 리스크 급증 작성일 07-09 10 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">블랙덕·케이엠에스테크놀로지, 오픈소스 기반 국내 기업 리스크 점검과 실행 로드맵 제시</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="xjVPAYV7S6"> <figure class="figure_frm origin_fig" contents-hash="a423a7422c8ba8975c8284433572a245e10e42f080d2fde887a956d5143d5fca" dmcf-pid="ypIvURIky8" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/09/552796-pzfp7fF/20260709161221157cayx.jpg" data-org-width="640" dmcf-mid="PiLYqiSryQ" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/09/552796-pzfp7fF/20260709161221157cayx.jpg" width="658"></p> </figure> <p contents-hash="39583aa84b14219f88bb569a1ff81212afd3fcbe298495d8b8b4f9ec3117e39d" dmcf-pid="WUCTueCEh4" dmcf-ptype="general">[디지털데일리 이상일기자] 블랙덕(Black Duck)과 케이엠에스테크놀로지(KMS Technology)가 공동 주최한 웨비나에서 기업이 오픈소스 취약점과 라이선스 리스크, 유지보수 중단 컴포넌트, 소프트웨어 자재명세서(SBOM·Software Bill of Materials) 대응 과제를 어떻게 관리해야 하는지 다뤄졌다.</p> <p contents-hash="8a60e2ac4c84504e9654cd022b447654bff6f965e5f43b0cbfe81351e53d65e5" dmcf-pid="Yuhy7dhDTf" dmcf-ptype="general">9일 '2026 오픈소스 보안·위험 분석(OSSRA·Open Source Security and Risk Analysis) 리포트로 보는 오픈소스 보안 리스크와 대응 전략'을 주제로 <디지털데일리> 웨비나 플랫폼 'DD튜브'에서 진행된 웨비나에서 블랙덕 제병주 부장은 오픈소스가 일부 개발 조직의 선택지를 넘어 기업 소프트웨어 개발의 기본 구성 요소가 됐다고 강조했다.</p> <p contents-hash="f1052cbf04155b209a8067e3c02e56b1e283c0830c59ac64626580af86e6ffaa" dmcf-pid="G7lWzJlwSV" dmcf-ptype="general">제 부장은 "어떤 오픈소스가 사용되고 있는지, 취약점이나 라이선스 리스크가 비즈니스에 어떤 영향을 줄 수 있는지 체계적으로 점검하고 대응하는 것이 중요해지고 있다"고 말했다.</p> <p contents-hash="bf9b6633495b9ce1615ecb7f5a8b5ec9d272806947d248dd736d629e0a1035c5" dmcf-pid="HzSYqiSrS2" dmcf-ptype="general">OSSRA 리포트는 블랙덕이 매년 수행하는 오픈소스 감사 결과를 토대로 작성된다. 이번 분석은 인수합병(M&A) 과정의 오픈소스 실사와 코드베이스 검토 결과를 기반으로 했다. 제 부장은 "오픈소스가 포함된 코드베이스는 98% 수준으로 사실상 대부분의 소프트웨어 프로젝트가 오픈소스를 사용한다"고 설명했다. 복잡성이 증가하면서 코드베이스당 평균 취약점 수도 전년보다 크게 늘었다고 지적했다.</p> <p contents-hash="3a124635cbc5aeff3714286e2b7532e67116aad62e4192fe9ab2336a05f9ce8e" dmcf-pid="XOeLI0e4h9" dmcf-ptype="general">발표 자료에 따르면 코드베이스당 오픈소스 취약점은 전년보다 107% 증가해 평균 581건에 달했다. 고위험 취약점 포함 코드베이스 비율은 78%였다. 매니페스트 파일 없이 외부에서 직접 유입된 컴포넌트는 16%, 라이선스 충돌이 있는 코드베이스는 68%였다. 4년 이상 노후화된 컴포넌트를 포함한 코드베이스는 92%, 2년 이상 유지보수가 중단된 이른바 '좀비 컴포넌트' 포함 코드베이스는 93%에 달했다.</p> <p contents-hash="6b4f789e65436af2bed30333108c935407a07e2b0d57b1084be2d060a28eba58" dmcf-pid="ZIdoCpd8SK" dmcf-ptype="general">제 부장은 AI 도입이 오픈소스 리스크 양상을 바꾸고 있다고 진단했다. 그는 "AI가 생성한 코드로 인해 보안 취약점과 라이선스 문제가 더 많이 발생하고 있다"며 "소프트웨어 구성 분석(SCA·Software Composition Analysis)으로 사용 중인 오픈소스와 취약점을 지속 관리해야 한다"고 말했다.</p> <figure class="figure_frm origin_fig" contents-hash="9824f012d6afffb4b5422140e00b9d43ff4a36890093021a4654c8edc3a000b1" dmcf-pid="5CJghUJ6hb" dmcf-ptype="figure"> <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/09/552796-pzfp7fF/20260709161222454wivt.jpg" data-org-width="640" dmcf-mid="QhaXKoyOvP" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/09/552796-pzfp7fF/20260709161222454wivt.jpg" width="658"></p> </figure> <p contents-hash="4a760e1223889533f750c5adf35e3397b87298b5a1150436145e2c846e36e837" dmcf-pid="1hialuiPSB" dmcf-ptype="general">이어 발표에 나선 KMS테크놀로지 전솔 매니저는 OSSRA 리포트의 글로벌 지표가 국내 기업 환경에서는 산업별로 다른 위험 형태로 나타난다고 설명했다.</p> <p contents-hash="16d0d5f62bf95e15500e18af3476e0ed72aa41f598d812bd13d5b93c9656e56c" dmcf-pid="tlnNS7nQhq" dmcf-ptype="general">대기업과 금융권은 규제 준수, 전이 의존성에 따른 공급망 취약점, 평판·과징금 리스크가 과제로 지목됐다. IT 스타트업과 테크 기업은 AI 코딩 도구 확산에 따른 라이선스 세탁, 지식재산권(IP) 소송, 투자·M&A 실사 리스크가 부각됐다. 전통 제조업과 시스템통합(SI) 기업은 레거시 시스템 장기 운용, 외주 산출물 검증 미흡이 핵심 위험으로 제시됐다.</p> <p contents-hash="4c11ae2ee0d6993c6007cd6b5c831f3b60b1fe648321c59d68b7610eee14f2f5" dmcf-pid="FSLjvzLxvz" dmcf-ptype="general">전 매니저는 "AI가 가져온 개발 속도 이면에 사상 최대 규모의 보안 취약점과 라이선스 위협이 숨어 있다"며 "AI 생성 코드까지 포함한 소프트웨어 공급망 전체를 통제하는 거버넌스를 전면 혁신해야 한다"고 말했다.</p> <p contents-hash="c2db745ca1e6e1bfd68079f88c06cd59a77c6ce1c00bf46befa33b3517fde141" dmcf-pid="3voATqoMl7" dmcf-ptype="general">국내 기업이 우선 점검해야 할 과제로는 스니펫 스캐닝의 소프트웨어개발생명주기(SDLC·Software Development Life Cycle) 내재화, SBOM 관리의 자산화, 좀비 오픈소스 퇴출 프로세스, 금지가 아닌 거버넌스 기반 AI·오픈소스 관리 체계가 제시됐다. 전 매니저는 "AI는 오픈소스 코드를 잘게 쪼개 짜깁기하기 때문에 패키지나 파일 단위 검사만으로는 라이선스 리스크를 걸러낼 수 없다"고 설명했다.</p> <p contents-hash="c78d5b816a503d11efce7f70eaf6b726c3235818f1f39b4202810832a691551a" dmcf-pid="0TgcyBgRhu" dmcf-ptype="general">SBOM은 단순한 규제 대응 문서가 아니라 소프트웨어 자산을 수집·추적하는 가시성 확보 수단으로 제시됐다. 전 매니저는 "직접 의존성뿐 아니라 전이 의존성과 사내에서 활용한 오픈소스 AI 모델 정보까지 SBOM에 포함해 자산화해야 한다"고 강조했다.</p> <p contents-hash="35770dc8949dd7a92c386f330a6b7c7e9636d1acc258c5df27c8290b56d69cd5" dmcf-pid="piz9nhztyU" dmcf-ptype="general">웨비나에서는 오픈소스 리스크 관리 수준을 스스로 점검할 수 있는 다섯 가지 질문도 소개됐다. ▲AI가 복사·붙여넣기 한 코드를 추적하고 있는가 ▲방치된 좀비 오픈소스를 파악하고 있는가 ▲4년 이상 노후화된 버전을 그대로 쓰고 있지 않은가 ▲외주 산출물 검증 책임을 계약서에 명시했는가 ▲규제 당국이나 고객사 요구 시 SBOM을 즉시 제출할 수 있는가 등이다. 전 매니저는 "'보안 툴을 도입했는가'가 아니라 '사각지대까지 실제로 추적하고 통제하고 있는가'로 질문의 패러다임을 바꿔야 한다"고 말했다.</p> <p contents-hash="dd3daa62562095c3f872be7b4f430d6e7ea980164ab9a6f9476aef2ca21fc3ef" dmcf-pid="Unq2LlqFSp" dmcf-ptype="general">전사적 거버넌스의 필요성도 다뤄졌다. 오픈소스 리스크 관리는 개발·보안 부서만의 책임이 아니며 경영진, 보안, 개발, 법무·컴플라이언스, 구매·사업 조직이 함께 참여하는 오픈소스검토위원회(OSRB·Open Source Review Board) 체계가 필요하다는 설명이다. 전 매니저는 "보안, 법무, 구매, 경영진이 유기적으로 맞물리는 전사적 거버넌스를 구축해야 한다"고 강조했다.</p> </section> </div> <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p> 관련자료 이전 우주 핵 위협 막는다…우주 핵무기 감지하는 센서 기술 07-09 다음 한 달간 하루 5%씩 널뛰기...‘삼전닉스 레버리지’ 덫에 갖힌 코스피 07-09 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
