오픈 소스는 현대 소프트웨어 개발의 기반이 되었습니다. 오늘날 거의 모든 애플리케이션은 복잡한 타사 라이브러리, 프레임워크, 모델 및 빌드 도구 네트워크에 의존합니다. 이러한 현실만으로도 이미 상당한 문제가 발생합니다. software supply chain security 도전 과제들이 생겨났습니다. 동시에 인공지능이 등장했습니다. 소프트웨어 개발 수명주기 강력한 가속기로서 코드 생성, 의존성 제안, 수정 자동화는 물론 아키텍처 설계에까지 영향을 미칠 수 있습니다.cis이온. 오픈 소스와 AI는 함께 소프트웨어 개발 방식을 혁신적으로 변화시켰고, 필연적으로 소프트웨어 공격 방식에도 변화를 가져왔습니다. AI 보안, AI와 소프트웨어 보안의 교차점은 다음과 같습니다. software supply chain security 이는 더 이상 이론적인 문제가 아닙니다. 이제 엔지니어링 조직이 직면하는 소프트웨어 공급망 위험의 주요 원인 중 하나입니다.
그러한 현실이 최근 SafeDev Talk의 주제가 되었습니다. 오픈 소스, AI 및 새로운 공격 표면: 무기화된 코드, 더욱 스마트한 방어레드햇, 틱톡, 자이제니의 보안 책임자들이 참여한 이번 토론에서는 보안 및 엔지니어링 팀이 실제 운영 환경에서 겪고 있는 문제, 특히 오픈 소스 공급망 공격, 악성 오픈 소스 패키지, 그리고 AI 기반 소프트웨어 개발에서 속도와 제어 사이의 갈등 심화에 대해 중점적으로 논의했습니다. 그 결과 명확한 그림이 드러났습니다. 공격 표면이 기존 보안 모델이 따라잡을 수 없을 정도로 빠르게 확장되고 있으며, AI는 기존 AI 보안 가정에 대한 스트레스 테스트인 동시에 공격의 위력을 증폭시키는 역할을 하고 있습니다. software supply chain security.
이 설명이 여러분의 조직이 현재 소프트웨어를 개발하는 방식과 불편할 정도로 비슷하게 느껴진다면, 그것은 우연이 아닙니다. 많은 팀은 무언가 고장이 난 후에야 자동화에 대한 신뢰가 얼마나 많이 옮겨갔는지 깨닫게 됩니다.
AI 보안 및 Software Supply Chain Security 지금도 같은 문제가 있나요?
논의 전반에 걸쳐 반복적으로 제기된 주제는 AI 보안을 더 이상 다른 분야와 분리된 영역으로 취급할 수 없다는 점이었습니다. software supply chain securityAI 시스템은 독립적으로 작동하지 않습니다. 동일한 시스템을 통해 구축, 훈련, 배포 및 통합됩니다. pipeline오픈 소스 공급망 공격으로 이미 어려움을 겪고 있는 s, 종속성 및 레지스트리.
AI 기반 소프트웨어 개발에서 모델은 코드를 제안하고, 수정 사항을 생성하며, 필요한 라이브러리 종속성을 자동으로 선택합니다.cis이온은 직접적인 영향을 미칩니다 오픈 소스 종속성 관리이는 종종 명시적인 인간의 의도 없이 발생합니다. 결과적으로, 의존성 위험은 더 이상 개발자의 선택에만 좌우되지 않고, AI의 행동에 의해 점점 더 큰 영향을 받게 됩니다.
이러한 융합으로 인해 AI 및 소프트웨어 보안 실패는 종종 기존 공급망 사고, 즉 손상된 종속성, 오염된 빌드 결과물 또는 취약한 상태와 같은 형태로 나타납니다. CI/CD 프로세스. 도구는 새롭지만 소프트웨어 공급망 위험은 매우 현실적이며 예측하기가 점점 더 어려워지고 있습니다.
위협 모델에서 여전히 "AI 위험"과 "공급망 위험"을 구분하고 있다면, 빌드 및 배포 워크플로에서 해당 경계가 실제로 어디에 있는지 다시 검토해 볼 가치가 있습니다.
오픈소스 공급망 공격, 기계 속도로 진행
오픈소스 공급망 공격은 새로운 것이 아니지만, AI는 공격 방식에 변화를 가져왔습니다. 공격자에게는 새로운 기술이 필요한 것이 아니라 규모가 필요합니다. AI는 신속한 생태계 분석, 취약한 의존성 자동 발견, 그리고 공격 페이로드의 빠른 반복 작업을 가능하게 합니다.
공격적인 관점에서 볼 때, 이러한 정찰 활동의 산업화는 악성 오픈 소스 패키지를 이용한 공격의 성공률을 극적으로 높입니다. 이전에는 눈에 띄지 않았던 구성 요소들이 이제는 신속하게 발견, 분석 및 악용될 수 있으며, 방어자들이 그 존재를 인지하기도 전에 공격이 이루어지는 경우가 많습니다.
이 이유 software supply chain security 지연된 신호에만 의존할 수는 없습니다. 레지스트리, 권고 사항 및 사후 공개는 사람의 시간 척도에 맞춰 작동하는 반면, 공격자는 점점 더 기계 속도로 공격합니다. 그 결과 발생하는 노출 시간 차이는 소프트웨어 공급망 위험 증가의 직접적인 원인이 됩니다.
주요 탐지 신호가 "레지스트리에서 패키지를 제거했습니다"라면 이미 공격자의 타임라인보다 하류에서 작업하고 있는 것입니다.
AI 기반 소프트웨어 개발에서의 의존성 위험
SafeDev Talk에서 논의된 가장 명확한 위험 중 하나는 의존성 위험, 특히 AI 기반 소프트웨어 개발에 크게 의존하는 환경에서의 위험이었습니다. AI 코딩 도우미는 공격 표면을 최소화하는 것이 아니라 편의성과 속도에 최적화되어 있습니다.
실제로 이는 공격적인 의존성 도입으로 이어집니다. 기존 기능을 재사용하는 대신 새로운 라이브러리가 추가됩니다. 전이적 종속성 조용히 확장하고 오픈소스를 활용하세요. 의존성 관리 의도적이기보다는 반응적으로 변하게 됩니다. 시간이 흐르면서 팀은 실제로 무엇을 실행하고 있는지에 대해 추론하는 능력을 잃게 됩니다.
이는 단순히 위생상의 문제가 아닙니다. 새로운 종속성이 추가될 때마다 소프트웨어 공급망 위험이 커지고, 새로운 신뢰 가정이 생겨나며, 오픈 소스 공급망 공격의 새로운 기회가 생깁니다. 종속성이 추가되면cis이온 분석이 자동화되고 표면적으로만 검토되기 때문에 의존성 위험은 우발적인 것이 아니라 시스템적인 문제가 됩니다.
만약 여러분의 의존성 그래프가 팀의 설명 능력보다 빠르게 커지고 있다면, 이는 도구 문제가 아니라 신뢰 문제입니다.
AI 코딩 도우미, 보안 및 검토 시스템의 붕괴
논의된 또 다른 실패 원인은 AI 생성 코드의 존재로 인해 동료 검토가 약화된다는 점입니다. AI 코딩 도우미의 경우, 보안은 단순히 프롬프트 주입이나 모델 오용에 관한 것이 아니라, 검토되지 않은 로직이 얼마나 많이 실제 운영 시스템에 유입되는지에 관한 것입니다.
AI가 생성한 변경 사항은 규모가 크고 일관성이 있으며 시간적 압박 속에서 검토하기 어렵습니다. 결과적으로 동료 검토는 피상적이거나 상징적인 수준에 그치게 됩니다. 이러한 조용한 붕괴는 가장 효과적인 통제 장치 중 하나를 무력화시킵니다. software supply chain security.
문제는 개발자의 과실이 아닙니다. 워크플로의 불일치가 문제입니다. 속도가 중요시되고 마찰이 적은 환경에서는 인간의 주의에 의존하는 AI 및 소프트웨어 보안 제어가 필연적으로 약화됩니다. 검토 과정이 더 이상 방어벽 역할을 하지 못한다면 공격자는 검토를 우회할 필요가 없습니다.
많은 팀은 리뷰 프로세스가 존재하기 때문에 여전히 효과적이라고 생각합니다. 하지만 리뷰 프로세스가 여전히 의미 있는 통제 수단으로 기능하는지 묻는 팀은 드뭅니다.
악성 오픈 소스 패키지와 인기의 허상
오픈소스 의존성 관리에서 흔히 통용되는 생각은 인기 있는 프로젝트일수록 안전하다는 것입니다. 하지만 실제로는 인기가 높을수록 취약점이 드러나는 경우가 많습니다. 널리 사용되는 라이브러리는 공격 대상으로서 매우 가치가 높습니다. 오픈 소스 공급망 공격, 미리cis타협은 광범위한 하류 영향을 미치기 때문입니다.
많은 인기 프로젝트는 소규모 팀이나 개인이 유지 관리합니다. 문제가 발견되더라도 악성 오픈 소스 패키지는 제거되기 전까지 몇 시간 또는 며칠 동안 여전히 사용 가능한 상태로 남아 있는 경우가 많습니다. 그 기간 동안 조직들은 자동화된 빌드를 통해 해당 패키지를 계속해서 사용하게 됩니다.
이번 지연은 선제적인 조치의 필요성을 더욱 강조합니다. software supply chain security 통제. 인기, 평판 또는 등록 기관의 조치에만 의존하는 것은 현대 소프트웨어 공급망 위험에 대처하는 데 충분하지 않습니다.
"널리 사용된다"는 것은 "적극적으로 방어된다"는 것과 같지 않으며, 이를 동일시하는 것은 공급망에 대한 가장 지속적인 오해 중 하나입니다.
소프트웨어 공급망 및 AI 보안에서의 출처 추적
논의 전반에 걸쳐 소프트웨어 공급망에서 출처 추적의 필요성이 반복적으로 제기되었습니다. AI 기반 환경에서는 출처가 모호해집니다. 코드가 모델에 의해 생성되고, 사람이 수정하고, 자동화에 의해 병합되고, 명확한 책임 소재 없이 배포될 수 있습니다.
출처를 확인할 수 없으면 조직은 아티팩트를 암묵적으로 신뢰할 수밖에 없습니다. AI 보안은 신뢰에서 검증으로의 전환을 요구합니다. 즉, 서명된 아티팩트가 필요합니다. build attestations출처 추적이 가능합니다. 출처 정보가 악의적인 행위를 완전히 막지는 못하지만, 모호성을 크게 줄이고 공격자의 기동성을 제한합니다.
이는 모델, 데이터, 코드 모두에 동일하게 적용됩니다. AI 기반 소프트웨어 개발에서 출처 추적은 AI 보안과 소프트웨어 보안 모두에 필수적인 요소입니다.
SBOM 현대의 AI 보안 Pipelines
의 역할은 SBOM 그리고 AI 보안은 또 다른 암묵적인 주제였습니다. SBOMs는 종속성 그래프에 대한 가시성을 제공합니다.하지만 가시성만으로는 충분하지 않습니다. AI 중심 환경에서는, SBOMs는 라이브러리뿐만 아니라 모델, 빌드 단계 및 자동화된 개발까지 포괄할 수 있도록 발전해야 합니다.cis이온.
와 결합하면 행동 분석 및 출처, SBOM 인공지능 기반 보안은 소프트웨어 공급망 위험을 줄이는 강력한 도구가 될 수 있습니다. 이를 통해 조직은 예상치 못한 변경 사항을 감지하고, 그 영향을 분석하며, 오픈 소스 공급망 공격에 더욱 효과적으로 대응할 수 있습니다.
CI/CD Pipeline Security 자동화 압력 하에서
마지막으로, CI/CD pipeline security 핵심 제어 평면으로 부상했다. Pipeline사람들은 인공지능 시스템이 제안하거나 유발하는 행동을 점점 더 많이 실행합니다. 만약 그러한 행동들이 pipeline강력한 신원 확인, 아티팩트 검증 및 정책 시행이 부족하면 공격자에게 이상적인 침입 경로가 됩니다.
부적절한 CI/CD pipeline security 악성 오픈 소스 패키지가 운영 시스템뿐만 아니라 개발 환경 및 빌드 인프라에도 영향을 미칠 수 있습니다. 자동화가 증가함에 따라, pipelines는 고가 자산으로 취급되어야 합니다. software supply chain security 프로그램.
SafeDev 강연을 시청하세요
이 분야를 이끌어가는 전문가들의 생생한 경험담을 더 자세히 듣고 싶으시다면, 전체 영상을 시청하세요. SafeDev 토크: 오픈 소스, AI 및 새로운 공격 표면: 무기화된 코드, 더욱 스마트한 방어, 특징 로만 주코프 (레드햇), 레온 존슨(틱톡)예산 및 루이스 로드리게스 베르조사(Xygeni).
인공지능 보안에 대한 실질적인 함의 및 Software Supply Chain Security
이러한 변화의 실질적인 의미는 도구 그 이상에까지 미칩니다. 조직은 AI 보안, AI 및 소프트웨어 보안, 그리고 software supply chain security 이제 두 가지는 깊이 얽혀 있습니다.cis한때 위험도가 낮은 것으로 여겨졌던 종속성 업데이트, 코드 생성 및 자동화는 이제 특히 이러한 작업이 수행될 때 소프트웨어 공급망에 상당한 위험을 초래합니다.cis이온은 사람이 명시적으로 생성하는 것이 아니라 도구를 통해 암묵적으로 생성됩니다.
SafeDev Talk에서 이 점이 간결하게 요약되었습니다. 한 발표자가 말했듯이, AI 시스템이 소프트웨어 개발에 참여하게 되면 보안 팀은 더 이상 코드만 보호하는 것이 아니라 개발 전반을 보호해야 합니다.cis이온. 자동화는 책임을 없애는 것이 아니라, 재분배하는 것이다.
실제로 이는 편의성이 우선시되었던 상황에서 의도성을 회복하는 것을 의미합니다. 오픈 소스 의존성 관리는 인간의 숙고를 가정하는 대신 AI 기반 동작을 고려해야 합니다. 의존성 위험은 더 이상 일회성 검토 작업으로 취급되어서는 안 됩니다.cise. CI/CD pipeline security 검증을 의무화해야 하며, 무해한 입력을 당연하게 여겨서는 안 됩니다. 또한 소프트웨어 공급망에서 출처 추적은 이상적인 목표에서 기본 요건으로 자리 잡아야 합니다.
이번 논의에서 얻은 또 다른 통찰은 속도 자체가 더 이상 중립적이지 않다는 점입니다. 대부분의 공급망 실패는 단 한 번의 재앙적인 사건에서 비롯되는 것이 아닙니다.cis이온이지만, 아무도 명시적으로 승인하지 않은 수많은 작은 자동화된 선택에서 비롯됩니다. 이것은 사전입니다.cis인공지능 기반 소프트웨어 개발 환경에서 기존 신뢰 모델이 실패하는 이유가 바로 여기에 있습니다.
이 모든 것은 오픈 소스나 AI를 포기하라는 의미가 아닙니다. 오히려 현대 엔지니어링에서 오픈 소스와 AI의 핵심적인 역할을 인정하는 것입니다. 하지만 보안에 대한 인식을 발전시키지 않으면 조직은 자동화가 기본적으로 신뢰를 결정하도록 내버려둘 위험에 처하게 됩니다.
결론적으로…
이러한 변화를 이해하는 데 유용한 방법은 다음과 같습니다. software supply chain security 이제는 유물을 보호하는 것만이 중요한 것이 아닙니다. 보호에 관한 모든 것입니다. decis이온 경로인공지능이 주도하는 세상에서 가장 중요한 보안 질문은 "이 구성 요소가 취약한가?"뿐만 아니라 "이것은 왜, 누구 또는 무엇에 의해, 그리고 어떤 제약 조건 하에 도입되었는가?"입니다. 이러한 관점에 적응하는 조직은 위험을 완전히 제거할 수는 없겠지만, 위험에 대한 대비책을 훨씬 덜 갖추게 될 것입니다.
