OpenSSF, AI 취약점 대응 지침 공개

ai.euno.news 자동 뉴스 요약

오픈소스시큐리티재단(Open Source Security Foundation·OpenSSF)이 인공지능(AI)으로 취약점을 찾아 고치는 실무 지침을 새로 내놓고, 관련 연구와 협력 체계를 확대했다. AI 코딩 도구가 코드 생산과 외부 패키지 도입을 빠르게 늘리는 동안 보안 검토는 이를 따라가지 못한다는 판단에서다. OpenSSF는 11월 9일 미국 솔트레이크시티에서 열린 오픈소스 시큐리티콘 북미 행사에서 이 같은 계획을 발표했다.¹

OpenSSF가 지원한 ‘소프트웨어 보안과 사이버보안에 미치는 AI의 영향 2026’ 조사에서는 응답 팀의 58%가 보안 검토 속도보다 빠르게 코드를 배포한다고 답했다. 60%는 AI 코딩 도우미를 쓴 뒤 코드베이스에 포함되는 외부 패키지가 늘었다고 밝혔다. 개발 속도만 빨라진 것이 아니라, 점검해야 할 의존성까지 많아졌다는 뜻이다. 새 지침은 이런 환경에서 AI를 취약점 탐지와 수정에도 활용할 수 있도록 실무 방향을 제시하는 데 초점을 맞췄다.¹

보안 대응 시간도 짧아지고 있다. OpenSSF는 AI가 코드 생산뿐 아니라 공격자와 방어자 양쪽의 취약점 발견·보고 속도를 높인다고 설명했다. 로라 구아젤리 OpenSSF AI·머신러닝·대규모언어모델·에이전트 시스템 보안 설계자는 버그 발견에서 자동화 공격까지의 간격이 줄어 기존 방어 체계의 준비 부족이 드러났다고 말했다. 유럽연합 사이버복원력법(EU Cyber Resilience Act·CRA) 같은 규제가 취약점 보고 기한을 압박하는 상황도 실용적인 지침이 필요한 배경으로 제시됐다.¹

OpenSSF는 개별 지침을 넘어 다기관 보안 AI 협력체인 MOSAIC(Multi-Organization Secure AI Coordination)에 가입했다. MOSAIC은 참여 조직의 활동을 표준화된 지도로 정리하고, NIST SP 800-53의 SC-42 같은 기존 통제 체계와 연계하며, 용어 정의와 지침에 공통 기준을 마련하는 것을 주요 목표로 삼는다. OpenSSF는 액티브스테이트(ActiveState), 리눅스재단 AI·데이터 재단과 함께 앞선 조사도 지원했다.¹

다만 이번 발표 자료에는 새 지침의 구체적인 적용 절차나 효과를 검증한 결과가 담기지 않았다. AI로 보안 업무를 보완한다는 방향과 개발·검토 속도의 격차는 수치로 제시됐지만, 실제 유지보수 현장에서 그 격차를 얼마나 줄일지는 후속 적용 사례를 통해 확인해야 한다. 한편 OpenSSF는 뷰티풀 마제스틱 돌핀, 데브가드, 유엘리먼트 테크놀로지스 등 세 곳이 일반 회원으로 새로 합류했다고 밝혔다.¹

읽기 목록은 이 브라우저에 저장됩니다.