[ISEC 20226 미리보기] 스패로우, AI 시대의 SW 공급망 보안 체계 구축 방안 제시

AI 생성 코드부터 SBOM 기반 공급망 관리까지 SW 공급망 보안 강화 위한 제품 전시
SW 공급망 보안 로드맵 발맞춰, 보안 역량 강화할 수 있도록 공급망 보안 솔루션 고도화 예정

[보안뉴스 한세희 기자] 스패로우는 소스코드 보안약점 분석(SAST), 소프트웨어 구성 요소 분석(SCA), 웹 애플리케이션 취약점 동적 분석(DAST) 등 소프트웨어 개발 생명주기 전반에 필요한 애플리케이션 보안 테스팅 기술을 모두 자체 개발로 보유한 국내 유일 기업이다. 스패로우는 SBOM 기반 공급망 보안 모델 구축 지원 사업을 비롯해 정부 주도 공급망 보안 정책과 연계한 다수의 과제에 참여하며 기술력을 인정받고 있으며, 최근 확산되는 AI 코딩 에이전트와 오픈소스 활용 환경에 대응해 AI 생성 코드 검증과 SBOM 기반 공급망 보안 영역까지 사업을 확대하며 안전한 SW 공급망 보안 체계 구축에 기여하고 있다.

애플리케이션 보안 테스팅 통합 솔루션, Sparrow Enterprise
Sparrow Enterprise는 소스코드, 오픈소스, 웹 취약점을 단일 환경에서 통합 분석·관리할 수 있는 애플리케이션 보안 테스팅 통합 솔루션으로, 소프트웨어 개발 생명주기 전반에 걸쳐 보안 위협을 사전에 예방한다. AI 기반으로 자산 중요도와 취약점 심각도를 고려해 취약점 조치 우선순위를 제안하며, 개발 환경과의 연동과 분석 자동화로 DevSecOps 체계를 구현할 수 있다. 또한 오픈소스 반입 제어와 함께 SPDX, CycloneDX 등 다양한 형식의 SBOM을 자동 생성할 수 있어 공급망 리스크를 최소화한다.

SBOM 공유 및 관리 플랫폼, Sparrow SecureHub
Sparrow SecureHub는 수요 조직과 공급 조직이 SBOM을 안전하게 주고받아 지속 관리하고, 소프트웨어 공급망 위협에 신속하게 대응할 수 있도록 지원하는 SBOM 공유 및 관리 플랫폼이다. 분산된 SBOM을 중앙에서 통합 관리해 버전별 공유 이력과 컴포넌트 변경 사항을 확인할 수 있고, 신규 취약점 발생 시 영향을 받는 컴포넌트를 식별해 신속하게 조치할 수 있다. 또한, 디지털 서명을 활용한 SBOM 무결성 검증과 권한 기반의 접근 제어로 안전하고 신뢰할 수 있는 SW 공급망 보안 생태계 구축을 지원한다.

AI 생성 코드 보안 어시스턴트, Sparrow MCP.
Sparrow MCP는 AI 코딩 에이전트와 연동해 AI가 생성하거나 수정한 코드를 실시간으로 분석하는 AI 생성 코드 보안 어시스턴트이다. IDE(통합개발환경) 환경에서 코드가 작성되는 즉시 소스코드 보안약점과 오픈소스 취약점을 분석함으로써 코드 생성 단계에서부터 보안을 검증하고 보안 위협을 예방할 수 있다. 또한 코드에 포함된 오픈소스 소프트웨어 컴포넌트를 식별해 라이선스 및 취약점 정보를 제공하고, SBOM을 생성해 구성 요소를 가시화할 수 있다.

최근 생성형 AI 기반의 소프트웨어 개발이 확산됨에 따라, AI 생성 코드의 취약점 및 검증되지 않은 오픈소스 유입에 대한 우려가 커지고 있다. 이에 스패로우는 지난 6월 AI가 생성하거나 수정한 코드를 실시간으로 분석하는 AI 생성 코드 보안 어시스턴트 ‘Sparrow MCP’를 출시했으며, 이를 기점으로 코드 생성 단계부터 보안을 내재화하는 MCP 기반 애플리케이션 보안 사업을 본격 확대할 계획이다. 또한 스패로우는 과학기술정보통신부와 국가정보원이 발표한 ‘SW 공급망 보안 로드맵’ 방향에 발맞춰, 공공 및 민간 기업이 SW 개발, 공급, 도입 시 보안을 내재화해 SW 투명성과 신뢰성을 강화할 수 있도록 스패로우가 제공하는 공급망 보안 솔루션을 지속 고도화할 예정이다.

한편, 대한민국 대표 사이버보안 콘퍼런스이자 아시아 최대 규모로 자리 잡은 ‘ISEC 2026’(제20회 국제 시큐리티 콘퍼런스)가 오는 8월 11일(화)부터 12일(수)까지 양일간 서울 코엑스에서 개최된다. ISEC 2026은 AI의 급속한 발전으로 단순한 자동화를 넘어 AI 에이전트로 가능해진 ‘자율성’에 초점을 맞춰 AI 보안의 미래를 조망하는 의미를 담은 ‘AI로 구현하는 자율 보안의 미래’를 주제로 코엑스 전시장(Hall D)과 오디토리움(3F), 아셈볼룸(2F)에서 지난해보다 확대된 규모로 개최된다. 특히 2026년에는 총 20여개 트랙, 100개 세션 발표와 150여개 사이버보안 솔루션 기업이 참여한 170여개의 솔루션 전시 부스도 마련될 전망이다.

아울러 행사 기간 중 참관객의 현장 투표와 설문조사, 영상 평가 등을 통해 선발한 명강연자들을 시상하는 ‘ISEC 2026 베스트 스피커 어워즈’와 카이스트 사이버보안연구센터와 공동 주관해 사이버 공격에 대한 실습을 통해 대응법을 마스터하고 보안 업무에 활용할 수 있는 유료 ‘트레이닝 코스’ 등 콘텐츠의 질적 향상 및 강연 수준 제고에 끊임없이 나설 계획이다.

[한세희 기자(hahn@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다