소프트웨어 공급망 보안, 오픈소스 거버넌스, AI 보안에 대한 관찰·해설·실천.
업계 보고서들은 대다수 코드베이스에 수년간 갱신되지 않은 오픈소스 컴포넌트가 포함돼 있다고 반복 보고한다. 방치된 컴포넌트에는 패치도, 취약점 대응도 없다. 가장 간과되기 쉬운 공급망 리스크의 식별·등급화·대응법을 정리한다.
라이선스 리스크의 난제는 개별 라이선스가 아니라 '조합'이다. 독점 코드에 섞인 GPL, Apache-2.0과 GPLv2의 충돌, 선언과 실제의 불일치——가장 흔한 다섯 가지 충돌 패턴과 4단계 대응 플레이북을 전부 자동화 가능한 형태로 정리한다.
중국 인민은행 등 5개 당국의 공동 의견은 오픈소스 거버넌스를 금융기관의 컴플라이언스 의무로 끌어올렸다. 규제 문서의 4가지 키워드를 해석하고 대장·도입 심사·모니터링·비상 대응의 실행 프레임워크를 제시한다.
2천 종이 넘는 오픈소스 라이선스 가운데 기업이 정말 경계해야 할 것은 무엇인가. '전염성'을 기준으로 리스크를 4개 층위로 나눠 관용형·약한 카피레프트·강한 카피레프트·상업 제한 조항의 경계를 정리하고, 3단계 거버넌스 방법을 제시한다.
공급망 포이즈닝이 npm 패키지에서 MCP 서버와 Agent Skill로 확산되고 있다. xz, Shai-Hulud, postmark-mcp 사례를 되짚으며 악성코드 탐지만으로는 부족한 이유를 설명한다.
여러 연구가 AI 생성 코드의 약 40%에 악용 가능한 결함이 있다고 보고하는 한편, AI 어시스턴트를 쓰는 개발자의 자신감은 오히려 높아진다. 실증 데이터와 4가지 메커니즘, '생산 순간'으로의 탐지 전진 배치를 다룬다.
CRA는 이미 발효됐다. 2026년 9월 취약점 보고 의무가 시작되고 2027년 12월 전면 적용되며, 위반 시 최대 1,500만 유로 또는 전 세계 매출의 2.5%가 부과된다. 6가지 대응 체크리스트를 제시한다.
SCA 도구의 격차는 기능 목록이 아니라 탐지 원리에 있다. 매니페스트 수준은 선언을 믿고, 스니펫 수준은 사실을 검증한다. 다섯 가지 사각지대 시나리오와 실전 평가 체크리스트.
SPDX인가 CycloneDX인가 SWID인가. 미국 EO 14028, FDA, EU CRA, 중국 금융권의 요구사항과 생성부터 운영까지 4단계 도입 경로를 한 번에 정리한다.
코드가 AI에 의해 대량 생산되고 의존성이 Agent에 의해 자동으로 끌려오는 시대, 기존의 '스캔하고 인벤토리화' 패러다임은 무너지기 시작한다. 보안은 사후에서 생산의 순간으로 옮겨가야 한다.
많은 팀이 SBOM을 '제출할 서류'로 취급한다. 하지만 가치 있는 SBOM은 의사결정을 이끈다——어떤 취약점이 악용 가능한지, 어떤 의존성을 먼저 고칠지, 어떤 라이선스가 리스크를 안고 있는지.
