"오픈소스 개발 코드 95%"···블랙덕, AI 코딩 보안 시장 공략

EU, 9월부터 소프트웨어 성분표 요구

수출기업 공급망 보안 수요 커져

옌 쳉 블랙덕 APAC 채널 총괄이  21일 경기도 과천 쿠도커뮤니케이션 사옥에서 열린 기자간담회에서 전략을 설명하고 있다. / 사진 = 블랙덕

[시사저널e=송주영 기자] 생성형 AI 기반 개발 도구 도입이 확산되면서 개발 생산성은 높아졌지만 보안 취약점 경고 건수도 늘고 있다. 개발 도구 자동화는 역설적으로 취약점이 얼마나 되는지 걸러내기 어렵단 지적이다. 여기에 유럽연합(EU)과 미국을 중심으로 소프트웨어 공급망 규제가 본격화되면서 수출 기업의 부담도 커지고 있다.

오픈소스 보안 전문 기업 블랙덕이 21일 경기도 과천 쿠도커뮤니케이션 사옥에서 기자간담회를 열고 이 두 가지 수요를 동시에 겨냥한 전략을 제시했다.

옌 쳉 블랙덕 APAC 채널 총괄은 “LLM이 생성한 모든 것을 믿을 수도 없고 믿지도 말아야 한다"며 "챗GPT가 나한테 주는 답도 의심을 하게 되는 경우도 있다”고 범용 LLM의 한계를 설명했다. 애플리케이션 보안에 특화된 툴이 필요하다는 논리다.

블랙덕이 이날 전면에 내세운 화두는 AI 생성 코드의 신뢰성 문제다. 깃허브 코파일럿, 클로드, 제미나이 등 AI 코딩 어시스턴트 사용이 일반화되면서 개발자가 직접 작성하지 않은 코드가 대거 생성됐다. 오픈소스 소프트웨어는 개발자가 사용하는 소프트웨어의 95%를 차지하며 LLM 모델도 오픈소스를 기반으로 한다.

시그널은 AI와 사람이 작성한 코드를 실시간으로 분석해 실제 악용 가능성이 높은 취약점만 우선순위로 선별하는 에이전트형 애플리케이션 보안 솔루션이다.

여러 AI 에이전트가 분석, 검증, 우선순위, 수정까지 협업 수행한다. 25년간 축적한 보안 인텔리전스를 반영한 ‘콘텍스트AI’ 엔진을 기반으로 한다. 깃허브 코파일럿 등 주요 AI 코딩 어시스턴트와 연동되며 코볼 등 오래된 언어도 지원한다.

쳉 총괄은 “AI를 활용한 코드 생성이 급증하면서 개발 속도는 빨라졌지만, 그만큼 실제 악용 가능한 취약점에 대한 선별과 대응이 더욱 중요해지고 있다”며 “이제는 단순히 많은 취약점을 탐지하는 것이 아니라, 개발 흐름을 방해하지 않으면서 실제 위험에 집중하는 보안 방식이 필요하다”고 말했다.

개발 생산성과 관련해서는 IDE(통합개발환경) 연동을 통해 코딩 단계에서 실시간으로 취약점을 탐지하고 수정 방법을 제안하는 기능이 소개됐다. 보안팀에 별도로 전달하지 않고 개발 환경 내에서 바로 처리할 수 있어 보안 검토 기간이 단축된단 설명이다. 오탐 비율도 기존 대비 50~75% 줄일 수 있다고 밝혔다.

블랙덕이 또 다른 핵심 수요로 꼽은 것은 글로벌 소프트웨어 공급망 규제다. 유럽연합(EU)은 올해 9월부터 사이버복원력법을 단계적으로 시행한다. 소프트웨어가 내장된 제품을 유럽에 수출할 경우 소프트웨어 구성 요소 목록(SBOM) 제출과 CE 마크 취득을 요구한다. 의료기기, IoT 장비, 드론, 방위산업 등 전 업종에 적용된다. 엘리베이터나 건설 장비까지 소프트웨어가 탑재된 모든 제품이 대상이다. 집행은 2026년부터 2028년까지 순차 적용된다.

미국은 국립표준기술연구소(NIST) 기준에 따라 정부 납품 소프트웨어에 SBOM을 의무화한다. 포함된 오픈소스 코드의 최초 작성 날짜, 버전, 출처까지 소급 추적해 제출해야 한다.

쳉 총괄은 "많은 기업들이 어려움을 겪고 있다. 첫 번째 개발 같은 경우는 회사 내에서 자체적으로 개발한 것이 아니라 이미 다른 쪽에서 개발한 것을 갖다 쓰는 경우가 많고 그런 경우는 대부분 오픈소스이기 때문"이라며 "이런 오픈소스까지도 어디서 왔냐, 언제 개발됐냐란 질문을 하게 된다면 이에 대해서 답을 할 수 있는 기업은 많지 않을 것"이라고 말했다.

오픈소스 IP 위반으로 인한 실제 피해 사례도 언급됐다. 시스코가 링크시스를 인수하는 과정에서 링크시스의 오픈소스 코드 활용에 지적재산권 위반 사례가 발견되면서 인수 작업이 중단되고 수십억 달러의 손해가 발생했다. SBOM을 넘어 AI BOM, 크립토 BOM까지 개념이 확장되고 있으며 양자컴퓨팅 발전으로 기존 암호 체계가 위협받을 수 있다는 점도 향후 리스크로 제시됐다.

블랙덕은 2011년 시놉시스 사업부로 국내 시장에 진출했다. 2년 전 분사 이후 분당 수내에 14명 규모 지사를 두고 있다. 쿠도커뮤니케이션을 단독 총판으로 4개사를 리셀러로 운영 중이며 삼성전자와 LG전자 등에 제품을 공급했다.

김철봉 쿠도커뮤니케이션 김철봉 부사장은 “AI 기반 개발 환경에서는 속도와 보안을 동시에 확보하는 것이 기업 경쟁력의 핵심으로 떠오르고 있다”며 “국내 기업들이 실제 위험 중심의 보안 체계를 구축할 수 있도록 적극 지원할 것”이라고 밝혔다.