DarkReading ‘Burst’ AI 코드 분석 확산…한국형 안전한 AI 개발 생태계 확보

DarkReading, AI 코드 분석 도구가 개발자 실수까지 공격 기회로 전환…한국형 ‘안전한 AI 개발 생태계’ 설계 시급

• DarkReading는 ‘Burst’ 등 AI 코드 분석 도구가 개발자가 작성한 소프트웨어 코드와 설정 파일을 자동 점검해 잠재 취약점을 추출하고 공격 시나리오까지 제안하는 기능을 소개하며, 코드 작성-배포 전 과정이 공격 표적이 되는 AI-개발 융합 환경을 경고한다.
• 기사에 따르면 Burst는 소프트웨어 리포지터리와 이슈 트래커 등 개발 데이터 전체를 학습해 특정 라이브러리 버전 조합, 잘못된 권한 설정, 평소 무시되던 경고 메시지까지 공격 경로로 재구성하고 취약 코드 조각을 자동 분류·추천하면서 개발팀의 사소한 실수를 조직 전체 리스크로 증폭시키는 ‘AI 공격 설계 보조 도구’로 작동한다.
• 해당 도구는 수천 개 프로젝트의 코드 패턴을 동시에 스캔해 정상·비정상 동작을 구분하고, 특정 취약 라이브러리 버전이 포함된 모듈 수나 미패치 이슈 개수 등 정량 지표를 제시해 보안팀이 취약 서비스 우선순위를 재조정하게 만들며, 동일 메커니즘을 한국 공공·국방 개발 환경에도 이식하는 글로벌 공급사 전략과 직결된다.
• AI 기반 코드 분석·공격 시나리오 도출은 미국·영국 등에서 이미 ‘보안 개발 수명주기(SDLC) 의무화’ 논의와 연결되고 있어, 한국도 정보보호산업 육성방안과 연계해 공공 SW 조달 시 AI 코드 점검 도구 사용을 의무화하면서 동시에 국내 기업이 Burst와 유사한 국산 도구를 개발해 글로벌 시장을 선점할 수 있도록 R&D·규제 샌드박스 정책을 설계해야 한다.
• 개발자 생산성 도구로 포장된 AI 코드 분석 기술이 공격자에게는 대규모 취약점 레이더로 전환되는 상황은, K-사이버보안 전략에서 ‘보안 데이터 풀’과 ‘성과 기반 발주’를 결합해 안전한 AI-개발 환경을 국가 인프라로 지정하고 국산 AI 보안 플랫폼을 공공·민간에 동시 확산함으로써 사이버 공격 위험을 제어하면서도 보안 산업 글로벌 수출을 확대할 구조적 기회로 활용해야 한다.

한국 정부는 AI 코드 분석·취약점 자동 발견 기술을 규제 대상으로 볼 것이 아니라 공공 개발 표준과 국산 기술 육성 패키지로 동시에 편입해, ‘AI 개발-보안 연계’를 국가 안보 인프라로 격상하는 정책 전환을 서둘러야 한다.

주요 용어: Burst(개발 코드·설정 데이터를 학습해 취약점과 공격 시나리오를 자동 발굴하는 AI 기반 코드 분석 도구), SDLC(소프트웨어 기획·설계·구현·테스트·운영 전 단계에 보안 요구사항을 통합하는 ‘보안 개발 수명주기’ 개념)

출처: Dark Reading