---
title: "AI 시대 보안, 소프트웨어 공급망 공격이 더 빨라지고 더 싸졌다"
published: 2026-05-31T16:05:03.127Z
canonical: https://jeff.news/article/3531
---
# AI 시대 보안, 소프트웨어 공급망 공격이 더 빨라지고 더 싸졌다

이 글은 생성형 AI가 소프트웨어 공급망 공격의 속도와 규모를 키우고 있다고 경고한다. 공격자는 기업 방화벽을 직접 뚫기보다 오픈소스 패키지, 개발 도구 확장, 타사 공급업체를 노리고, 기업의 평균 취약점 수정 시간이 74일이라는 점이 치명적인 속도 격차로 지적된다.

- AI 시대의 공급망 공격은 “방화벽 뚫기”보다 “개발자가 믿고 쓰는 것 오염시키기”에 가까워지고 있음
  - 공격자는 은행이나 에너지 기업의 방어선을 직접 때리기보다 오픈소스 코드 패키지, 개발 도구 확장, 타사 소프트웨어 공급업체를 노림
  - 기업이 디지털 전환을 빨리 할수록 외부 의존성도 늘어나고, 그만큼 공격면도 넓어짐

- 생성형 AI가 붙으면서 공격 규모와 속도가 달라졌다는 게 글의 핵심 주장임
  - 공개 저장소에 있는 수백만 줄의 코드를 자동으로 스캔해 취약점을 찾을 수 있음
  - 기존 안티바이러스 소프트웨어를 우회하는 다형성 악성코드(polymorphic malware) 생성도 쉬워질 수 있다고 경고함
  - 정교한 AI 모델의 소스 코드가 공개된 뒤 범죄자가 악용하는 데 걸리는 시간이 몇 달에서 몇 시간으로 줄고 있다는 분석도 인용됨

> [!WARNING]
> 공격자가 AI 에이전트로 정찰, 취약점 탐지, 데이터 암호화까지 몇 분 안에 자동화할 수 있다면, 74일짜리 패치 사이클은 사실상 방어 전략이 아니라 노출 기간에 가까움.

- 해킹의 진입 장벽도 낮아지고 있음
  - 프로그래밍 특화 AI 모델이 확산되면서 아마추어 공격자도 과거 국가 지원 해킹 그룹이 하던 수준의 공격 흐름을 흉내 낼 수 있다는 우려가 나옴
  - AI 코딩 비서나 자동화된 개발 도구가 변조되면, 수만 명의 개발자에게 악성 코드 제안이 퍼질 수 있음

- 기존의 “취약점 찾고 패치하기” 모델은 속도 싸움에서 밀린다는 지적이 나옴
  - 글은 기업이 심각한 취약점을 발견하고 수정하는 평균 시간이 74일로 늘었다고 설명함
  - AI 기반 공격은 몇 분 단위로 정찰과 침투를 자동화할 수 있으니, 방어 쪽 지연 시간이 너무 길다는 얘기임

- 그래서 신뢰 모델 자체를 바꿔야 한다는 결론으로 이어짐
  - 대형 소프트웨어 공급업체는 안전할 것이라는 가정이 더 이상 충분하지 않음
  - 매달 수백만 건 다운로드되는 오픈소스 라이브러리도 악성코드에 감염될 수 있음
  - 정적 테스트만으로는 이런 공급망 변조를 잡기 어렵다는 문제의식이 깔려 있음

- 제안되는 방향은 제로 트러스트 기반의 사전 탐지 모델임
  - 사고가 터진 뒤 대응하는 방식에서 벗어나, 위협을 실시간으로 감시하고 선제적으로 탐지해야 한다는 주장
  - 사람 계정뿐 아니라 비인간 신원(non-human identity), AI 기반 자동화 프로세스, 디지털 구성 요소 공급업체까지 감시 대상에 넣어야 함
  - 보안은 더 이상 IT 부서만의 일이 아니라 조직 생존과 국가 전략의 일부라는 식으로 문제를 확장함

---

## 기술 맥락

- 공급망 공격이 무서운 이유는 공격 지점이 “내 코드”가 아닐 수 있기 때문이에요. 내가 직접 작성한 서비스는 멀쩡해도, 의존하는 패키지나 개발 도구 확장이 오염되면 그 코드가 빌드와 배포 과정에 자연스럽게 들어올 수 있거든요.

- AI가 여기에 붙으면 탐색 비용이 확 내려가요. 예전에는 공격자가 직접 저장소를 뒤지고 취약한 패턴을 찾아야 했다면, 이제는 AI가 대량 코드를 훑고 의심 지점을 뽑아내는 식의 자동화가 가능해지는 거예요.

- 그래서 제로 트러스트가 공급망에도 필요하다는 주장이 나와요. 유명한 공급업체, 많이 다운로드된 라이브러리, 내부 자동화 계정이라고 해서 무조건 신뢰하면 안 되고, 실제 동작과 권한 사용을 계속 검증해야 하기 때문이에요.

- 개발팀 입장에서는 의존성 스캔만으로 끝내기 어렵습니다. CI/CD 권한, 봇 계정, AI 코딩 도구, 배포 파이프라인까지 같이 봐야 공격자가 어디서 신뢰를 훔쳐 쓰는지 잡을 수 있어요.

## 핵심 포인트

- AI가 공개 저장소의 코드를 자동 스캔해 취약점을 찾고 다형성 악성코드 생성까지 도울 수 있음
- 기업이 심각한 취약점을 발견하고 수정하는 평균 시간이 74일로 늘었다는 통계가 제시됨
- 공급망 보안은 패치 중심 대응에서 제로 트러스트 기반 실시간 감시로 옮겨가야 한다는 주장
- 비인간 신원, 자동화 프로세스, 디지털 구성 요소 공급업체까지 감시 대상에 포함해야 함

## 인사이트

기사 자체는 경고성 톤이 강하지만, 개발 조직이 봐야 할 포인트는 명확함. 이제 보안은 배포 후 취약점 패치가 아니라, 의존성·개발 도구·AI 자동화까지 포함한 공급망 관측 문제로 봐야 함.