무너진 코드 신뢰, SBOM 확장으로 잡는다... 스패로우 SAI 2026 성료

공급사와 수요사 시각화하는 차세대 소프트웨어 공급망 생태계 구상
실제 사례로 풀어낸 개발 보안 사고 패턴 분석 세션 호응

[보안뉴스 조재호 기자] 클로드 미토스(Claude Mythos) 같은 AI 모델의 등장으로 취약점 발견 속도가 빨라지는 가운데, 스패로우가 AI 혁신으로 완성하는 공급망 보안 해법을 제시했다.

▲ 장일수 스패로우 대표가 SAI 2026을 진행하고 있다 [출처: 스패로우]

스패로우는 11일 서울 용산구 나인트리 프리미어 로카우스 호텔에서 연례 고객 초청 행사 ‘SAI 2026’을 개최하고, AI 시대에 맞춘 소프트웨어 공급망 보안 전략을 공개했다.

이번 행사는 기존 스패로우의 연례행사 PUC(Power User Conference)를 애플리케이션 보안 전반을 아우른 통찰을 제공하겠다는 취지에 맞춰 SAI(Sparrow Application Insight)로 새롭게 명명하고 출발한 첫 무대다.

초청 강연에 나선 이만희 공급망보안연구회 위원장은 변화하는 공급망 보안 환경과 기업 대응 전략을 발표하며 글로벌 공급망 규제 동향과 다변화된 공격 표면을 집중 조명했다. 이 위원장은 최근 급부상한 클로드 미토스 등 최신 AI 모델들을 언급하며, 기술 발전으로 해커들의 취약점 발견 속도가 급격히 빨라진 만큼 방어자도 보안 가시성을 확보하고 개발 전 주기에 걸쳐 자동화된 보안 테스트 체계를 구축해야 한다고 경고했다.

이어 무대에 오른 장일수 스패로우 대표는 개발 현장의 실질적인 관리 한계를 지적하며 새로운 대안을 제시했다. 장 대표는 “생성형 AI를 통한 코드 생성과 수많은 오픈소스 패키지 활용이 혼재되면서 △가시성 부재 △라이선스 리스크 △취약점 대응 지연 등 관리적 한계에 부딪히고 있다”며 “이를 해결하기 위해 AI 모델과 AI 생성 코드까지 투명하게 추적할 수 있도록 소프트웨어 자재명세서(SBOM)의 관리 범위를 확장해야 한다”고 말했다.

또 생성된 자재명세서에 디지털 서명을 추가해 무결성을 검증하고, 이를 주고받은 공급사와 수요사를 시각화해 신뢰할 수 있는 생태계를 구축해야 한다고 덧붙였다.

이후 세션에서는 △AI 개발 환경에서의 SW 개발 보안 도입 전략 △스패로우 핵심 로드맵 오버뷰 △실제 사례로 보는 개발 보안 사고의 패턴과 이유 등이 소개됐다. 이 중에서 AI 중심의 개발 패러다임 변화에 따른 보안 대책으로 코드 생성 시점부터 보안 검증을 수행하는 ‘스패로우 MCP’(Model Context Protocol)가 눈길을 끌었다.

[조재호 기자(zephyr@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다