Proven by Intelligence
보이지 않는 안전을 인텔리전스로 증명하다.
기술 인사이트를 만나보세요.
최근 생성형 AI와 대화형 LLM 기술이 기업 업무 환경에 빠르게 도입되면서 생산성이 획기적으로 향상되고 있습니다. 하지만 AI 도입 속도가 빨라진 만큼, 기업 내부의 보안과 리스크 관리라는 새로운 과제도 함께 떠오르고 있습니다.
이번 글에서는 최근 IT 거버넌스의 핵심 화두로 떠오른 Shadow AI의 위험성과, 이를 관리하기 위한 첫걸음인 AI-BOM 중심의 보안 가시성 확보 전략을 소개해 드립니다.
1. Shadow AI(비공식 AI)와 새로운 보안 리스크의 등장
기업이 공식적으로 승인하지 않은 AI 툴이나 모델을 임직원이 임의로 업무에 사용하는 현상을 'Shadow AI'라고 부릅니다. 편리하다는 이유로 제3자 AI 서비스에 내부 코드나 고객 데이터를 입력하면서 다음과 같은 심각한 보안 위협이 발생하고 있습니다.
· 민감 데이터 및 기밀 유출: 소스코드, 고객 개인정보, 미공개 사업 계획 등이 승인되지 않은 외부 AI 서비스로 전송·저장되거나, 서비스 정책에 따라 학습·재활용될 위험
· AI 구성요소의 불투명성: 어떤 오픈소스 AI 프레임워크나 학습 모델이 사용되었는지 파악하기 어려워 발생하는 라이선스 및 취약점 문제
· 신종 AI 공격 위협: 프롬프트 인젝션(Prompt Injection) 등 기존 정적 분석(SAST)만으로는 충분히 감지하기 어려운 AI 제어 우회 시도
이러한 리스크에 대응하기 위해서는 가장 먼저 "우리 기업 시스템 내에 어떤 AI 구성요소가 들어와 있는가?"를 정확히 파악하는 가시성 확보가 선행되어야 합니다.
2. 해결의 출발점: AI-BOM (AI Software Bill of Materials)
기존 소프트웨어 분야에서 SBOM을 통해 부품 명세서를 관리했던 것처럼, AI 환경에서도 AI-BOM(AI 자재명세서) 관리가 필수가 되고 있습니다.
─
💡 AI-BOM이란?
AI 시스템을 구성하는 AI 모델, 시스템 프롬프트, Agent 및 Agent 구성, 도구, MCP 연동 등 AI 구성요소를 식별하고 문서화하는 명세서입니다.
AI 프레임워크·오픈소스 라이브러리 등 일반 소프트웨어 종속성은 Dependencies SBOM과 함께 관리할 수 있습니다.
─
AI-BOM을 통해 기업 내 AI 자산과 관련 구성요소를 먼저 파악하면, 특정 모델·라이브러리에서 보안 취약점(CVE)이나 라이선스 이슈가 확인될 때 영향 범위를 신속히 좁혀 대응할 수 있습니다. 다만 AI-BOM은 AI 자산과 구성요소를 식별·문서화하는 출발점이며, 프롬프트 인젝션이나 민감정보 유출과 같은 런타임 위협에 대한 대응은 식별된 AI 자산을 바탕으로 한 별도의 보안 점검과 통제 체계가 필요합니다.
3. Mend AI: AI-BOM 기반의 투명한 AI 자산 관리
MDS인텔리전스가 제공하는 Mend AI는 AI 기반 소프트웨어 개발 환경에서 AI 구성요소와 오픈소스 리스크를 정밀하게 식별하고 관리할 수 있도록 돕습니다.
· 자동화된 AI-BOM 생성 및 관리
코드 스캔을 통해 AI 모델, 시스템 프롬프트, Agent, MCP 등 AI 구성요소를 자동으로 식별하고 AI-BOM으로 관리할 수 있도록 돕습니다.
· 오픈소스 취약점 & 라이선스 검증
AI 개발에 활용되는 오픈소스 라이브러리·종속성의 보안 취약점(CVE)과 라이선스 리스크를 식별하고, AI-BOM 및 SBOM 정보와 연계해 관리할 수 있도록 지원합니다.
· AI 자산의 가시성 확보
코드 내 미파악 또는 미승인 AI 구성요소, 즉 Shadow AI를 발견하여 AI 거버넌스 수립의 기초 데이터를 제공합니다.
4. 마치며: 안전한 AI 혁신, 정확한 현장 파악부터!
AI 보안 거버넌스의 시작은 "우리가 사용하는 AI 소프트웨어의 내부를 명확히 아는 것" 입니다.
Mend AI를 통해 AI-BOM을 체계적으로 관리하고 AI 자산의 투명성을 높임으로써, 기업은 신뢰할 수 있는 보안 거버넌스 기반 위에서 AI 혁신을 추진할 수 있습니다.
Mend AI 솔루션 도입 및 AI 자산 관리 방안이 궁금하시다면 언제든 문의해 주세요!
