소버린 AI, 이제 모델보다 ‘공급망 검증’이 진짜 주권이라는 얘기

• 소버린 AI 논의가 ‘국산 모델을 만들자’에서 ‘AI 공급망을 검증하자’로 넘어가고 있음

  • 최윤성 고려대·경기대 겸임교수는 국산 인공지능(AI) 모델을 쓰더라도 오픈소스 패키지, 외부 데이터셋, 서드파티 도구가 복잡하게 얽힌다고 지적함
  • 그래서 진짜 주권은 특정 모델 소유가 아니라, 어떤 모델을 쓰든 출처와 무결성을 검증할 수 있는 능력에 있다는 얘기임

• 대형언어모델(LLM) 도입은 생산성만 올리는 게 아니라 종속성도 같이 폭발시킴

  • 프론티어 모델은 고도 추론이나 에이전트 워크플로우에 쓰이는 최첨단 AI 모델인데, 성능이 올라갈수록 내부 구조와 외부 의존성이 더 복잡해짐
  • 개발자가 AI가 추천한 패키지를 별 의심 없이 설치하면, 명령어 한 줄로 수백 개 전이적 의존성이 들어올 수 있음

• LiteLLM 침해 사례가 이 문제를 꽤 노골적으로 보여줌

  • LiteLLM은 여러 대형언어모델 API를 공통 인터페이스로 연결해주는 라이브러리임
  • 월 9700만 다운로드를 기록한 이 라이브러리가 침해됐을 때, 이를 의존성으로 끌어오던 패키지만 1705개였다고 함
  • 공격자는 개별 회사를 하나씩 뚫은 게 아니라, AI 생태계가 공통으로 가져다 쓰는 핵심 부품을 노린 셈임

• 더 무서운 건 ‘내가 직접 설치하지 않았는데도’ 감염될 수 있다는 점임

  • 안전해 보이는 패키지를 설치했더라도 그 아래 깊은 종속성 트리에서 LiteLLM을 호출하면 위험이 따라 들어옴
  • 최 교수는 이걸 두고 안전한 패키지를 설치해도 악성코드가 눈덩이처럼 번지는 효과가 정량적으로 드러난 사례라고 설명함

sequenceDiagram
    participant 개발자
    participant 패키지관리자
    participant 하위의존성
    participant 빌드파이프라인
    participant 운영서비스
    개발자->>패키지관리자: AI 추천 패키지 설치
    패키지관리자->>하위의존성: 전이적 의존성 자동 다운로드
    하위의존성->>빌드파이프라인: 침해된 라이브러리 포함
    빌드파이프라인->>운영서비스: 검증 없이 배포
    운영서비스->>운영서비스: 공급망 공격 영향 확산

• Trivy 사례는 ‘방어 도구도 무기가 될 수 있다’는 쪽이라 더 뼈아픔

  • Trivy는 컨테이너 이미지나 클라우드 환경의 취약점을 찾는 대표적인 오픈소스 보안 스캐너임
  • 그런데 전 세계가 쓰는 이 도구의 깃허브 저장소 태그 76개가 태그 포이즈닝 공격으로 악성 커밋으로 바뀌었다고 함
  • 워크플로우 파일을 바꾸지 않아도, 해당 태그를 믿고 가져다 쓰는 CI/CD가 자동 감염될 수 있다는 게 핵심임

• 대안으로 제시된 건 인공지능자재명세서(AIBOM)임

  • 기존 소프트웨어 자재명세서(SBOM)나 소프트웨어 구성 분석(SCA) 도구는 모델 가중치 같은 비코드 자산을 제대로 읽지 못하는 공백이 있음
  • AIBOM은 모델 가중치, 학습 데이터셋, 하이퍼파라미터, 에이전트 도구 명세까지 포함하는 확장 명세서로 제시됨
  • 기업 실천 과제로는 AI 소프트웨어 인벤토리 생성, CI/CD 검증 게이트 연동, 외부 패키지·모델 출처와 무결성 해시 등록, 에이전트 권한 최소화가 언급됨

• 지정학적 리스크까지 붙으면서 AI 공급망은 안보 이슈가 됨
  • 미국 상무부의 대중국 AI 칩·모델 수출 통제처럼, AI 접근권은 국가 안보 논리에 따라 제한될 수 있음
  • 최 교수는 모델 접근권이 동맹국이라도 언제든 끊길 수 있다며, 통제 가능한 영역을 모델 자체가 아니라 검증 인프라로 봐야 한다고 말함

기술 맥락

• 여기서 중요한 선택은 ‘모델 국산화’만 볼지, ‘AI 공급망 검증’까지 볼지예요. 국산 대형언어모델을 만든다고 해도 학습 데이터, 오픈소스 패키지, 에이전트 도구, 배포 파이프라인이 외부 생태계에 기대고 있으면 공격면은 그대로 남거든요.

• LiteLLM 사례가 실무적으로 무서운 이유는 직접 의존성보다 전이적 의존성이 더 안 보이기 때문이에요. 개발자는 패키지 하나만 설치했다고 생각하지만, 실제로는 수백 개 하위 패키지가 따라오고 그중 하나가 침해되면 운영 서비스까지 영향을 받을 수 있어요.

• 그래서 AIBOM은 단순 문서가 아니라 CI/CD 게이트에 붙어야 의미가 있어요. 모델 가중치, 데이터셋, 해시, 도구 권한을 빌드 단계에서 확인해야 배포 전에 차단할 수 있고, 사고가 난 뒤에도 어디까지 영향을 받았는지 추적할 수 있어요.

• 에이전트 권한 최소화도 같은 맥락이에요. AI 에이전트가 여러 시스템을 오가며 자동 실행을 시작하면, 패키지 하나의 침해가 데이터 접근이나 배포 권한 남용으로 이어질 수 있어서 권한 경계를 미리 좁혀둬야 해요.