윤종원 스패로우 최고기술책임자(CTO)가 9월15일 서울 양재동 엘타워에서 열린 '오픈 테크넷 서밋 2026'에서 AI 시대의 SW 신뢰성 확보 전략을 주제로 발표하고 있다. [사진=디지털데일리]

[디지털데일리 김보민기자] 인공지능(AI) 코딩을 활용해 소프트웨어(SW)를 개발하는 시대가 왔다. 이전보다 빠른 속도로 개발이 가능해졌지만, 동시에 보안 취약점도 증가하고 있다. 개발 과정과 결과물에 대한 '검증'이 중요해졌다는 의미다.

애플리케이션 보안 전문기업 스패로우는 '보안 테스팅'에 답이 있다고 제언했다. 윤종원 스패로우 최고기술책임자(CTO)는 15일 서울 양재동 엘타워에서 열린 '오픈 테크넷 서밋 2026'을 통해 "AI는 완성된 코드를 생성하지만 보안적으로 올바른 코드인지 검증하지 않는다"며 "AI를 통해 생성한 코드라고 해도 반드시 보안 테스팅 단계를 거쳐야 한다"고 밝혔다.

전통적인 SW 개발 방식은 먼저 요구사항을 분석하고 설계, 개발, 테스트, 배포 단계를 거친다. 반면 생성형 AI를 적용한 SW 개발 방식은 요구사항 분석에서 시작한다는 점은 같지만 프롬프트 입력, 생성 코드 검토, 수정 및 최적화 과정을 거쳐 테스트와 배포로 이어진다. 설계부터 개발까지 주요 과정에 AI 관여도가 높아졌다는 점을 엿볼 수 있는 대목이다.

스패로우는 AI가 생성한 산출물에 대한 보안 테스팅이 필요하지만, 현실적으로 쉽지 않다고 진단했다. 윤 CTO는 "생성형 AI 기반 개발은 생산성을 높이는 것이 목표인데, 전통적인 애플리케이션 보안 테스팅은 속도가 아닌 실제 보안 취약점을 점검해 조치하는 것이 목적"이라고 말했다.

AI 기반 개발을 이행하는 동시에, 보안 테스팅에 대한 정확도를 확보할 방안이 필요해진 때다. 스패로우는 자동화된 보안 테스팅이 필요하다고 제언했다. AI 생성물 중 취약한 코드가 발견됐다면, 이를 애플리케이션 보안 테스팅 기술과 도구를 활용해 점검하고 개선하는 과정을 자동화해야 한다는 취지다.

자동화된 조치 방안을 도출하는 것도 중요하다고 강조했다. 대형언어모델(LLM)을 통해 맥락 기반의 수정안을 생성하고, 사전에 정의된 조치 정책을 반영하는 방식이다. 이러한 체계를 갖춘다면 일관된 수정도 가능해진다.

윤 CTO는 'AI 코딩 거버넌스'를 고려할 때라며 "AI와 직원들이 무슨 작업을 하는지 관리 및 통제하고, 개발 코드를 신뢰할 수 있고 취약점을 검증했는지 끊임없이 질문해야 한다"고 말했다. 그러면서 "이를 AI와 연동해서 자동화한 뒤 위험을 최소화하는 과정도 고려할 때"라고 부연했다.

AI 개발이 오픈소스에 대한 의존성이 높다는 점을 고려했을 때, 소프트웨어자재명세서(SBOM) 기반 공급망 보안도 주목을 받고 있다. SBOM은 SW에 포함된 모든 구성 요소, 라이브러리, 의존성 등의 목록을 기계가 읽을 수 있는 형태로 정리한 명세서다. 취약점 영향 범위를 식별하고 수요사와 공급사 간 보안 검증 기준을 확인하는 데 활용된다. 미국과 유럽연합(EU)의 경우 이를 규제 요소로 활용하고 있다.

스패로우는 SBOM에서 나아가 AI자재명세서(AIBOM) 또한 주목해야 한다고 보고 있다. 윤 CTO는 "최근에는 AI 모델에서 발생하는 취약점에 대해서도 관심이 커지고 있다"며 "악성 데이터로 학습됐거나 모델이 이상하게 동작할 가능성이 있다는 관점에서 취약점을 살펴보기 시작한 것"이라고 말했다. 그러면서 "AI 모델에 대한 정보도 주고받을 수 있도록 해야 한다는 것이 AIBOM"이라고 소개했다.

한편 스패로우는 AI 기반 개발 환경에 대한 지원을 고도화할 방침이다. 윤 CTO는 "생산성 향상을 넘어 어떻게 안전한 AI 개발이 가능할지 고민할 때"라며 "스패로우도 이러한 고민에 대한 해답을 제시하도록 노력하겠다"고 말했다.