래브라도랩스, “오픈소스 AI 모델 보안 위협 선제 대응”…SCA 플랫폼에 AI 탐지 기능 추가

오픈소스 AI 모델의 사용이 급증하는 가운데, 공급망 보안을 위한 새로운 기술 대응이 시도되고 있다. 사이버 보안 기업 래브라도랩스(공동대표 김진석, 이희조)는 7일, 자사 SCA(Software Composition Analysis) 플랫폼에 AI 모델 탐지 기능을 추가하며 AI 공급망 보안 대응 강화에 나섰다고 밝혔다.

래브라도랩스가 새롭게 적용한 기능은 소프트웨어 공급망 분석 대상에 오픈소스 AI 모델을 포함해, 모델 출처와 코드 위치, 신뢰성, 악성 가능성 등을 자동 식별하는 기술이다. AI 모델의 위협 요소를 SBOM(소프트웨어 자재 명세서) 수준에서 분석하고, 보안 위험을 사전에 관리할 수 있도록 돕는 것이 핵심이다.

특히, 이번 기능은 허깅페이스(Hugging Face)에 등록된 YOLO 기반 객체 탐지 모델 ‘Bingsu/Adetailer’를 분석해, 공급망 공격 이력과 보안 경고를 바탕으로 악성 가능성 모델로 분류했다. 이 모델은 지난 3월 기준 2,150만 건 이상 다운로드된 바 있어 보안상의 주의가 요구되는 상황이다.

◆AI 모델 1700건 이상 악용 가능 사례 확인

래브라도랩스는 자체 분석 결과를 통해 현재 오픈소스 저장소에서 확인된 악용 가능한 AI 모델이 1,700건을 넘어섰다고 밝혔다. 이들 중 일부는 백도어나 악성 스크립트가 포함돼 있으며, 무단 라이선스 변경, 훈련 데이터 조작 등의 문제가 함께 발견됐다.

기업이 이런 AI 모델을 무심코 도입할 경우, 내부 네트워크 접근 권한이 외부로 유출되거나 고객 정보, 영업 기밀 등 민감한 데이터가 탈취될 수 있다. 또한, 훈련 데이터 위조나 훼손을 통해 편향된 결과나 오류를 유발하는 등 AI 기반 의사결정의 신뢰성을 크게 저해할 수 있다.

AI 모델 관련 법적 리스크도 주목할 부분이다. 라이선스가 명확하지 않거나, 무단으로 활용된 데이터셋을 사용하는 모델의 경우, 향후 저작권 침해나 손해배상 소송으로 이어질 수 있다. 실제로 깃허브(GitHub)에 등록된 일부 생성형 AI 모델에는 설치 스크립트에 악성 코드가 포함된 사례가 확인됐고, 개인정보를 학습 중 유출한 대형언어모델(LLM) 사례도 보고된 바 있다.

◆SBOM 기반 AI 공급망 보안 관리 체계 구현

래브라도 SCA 플랫폼은 기존 오픈소스 SCA 분석 체계에 AI 모델 특성을 반영해 기능을 확장했다. 이를 통해 AI 모델의 출처, 사전학습 여부, 라이선스 상태, 악성 코드 포함 여부까지 자동으로 파악하고, SBOM 파일에 해당 정보를 명시할 수 있도록 설계됐다.

김진석 래브라도랩스 대표는 “AI는 이미 소프트웨어 공급망의 핵심 자산이 되고 있지만, 이를 보호할 체계는 여전히 부족한 상황”이라며 “이번 기능 확장을 통해 기업과 개발 조직이 신뢰성과 투명성을 갖춘 AI 모델을 도입하는 데 실질적인 보호장치를 제공하게 될 것”이라고 말했다.

현재 AI BOM 표준은 완전히 정립되지 않았으나, 래브라도랩스는 기존 SBOM 체계를 기반으로 AI 모델 분석 결과를 포함할 수 있는 유연한 데이터 구조와 스키마를 이미 설계해두고 있다. 향후 AI BOM 표준이 확정되면 신속히 대응할 수 있는 기반을 갖춘 셈이다.

전문가들은 생성형 AI의 대중화로 인해 오픈소스 AI 모델에 대한 검증과 감시 체계가 시급하다고 지적한다. 특히 공급망 공격과 관련한 위협이 현실화되고 있는 만큼, SBOM 기반의 자동화된 위협 탐지 체계 도입은 필수적이라는 분석이다.

[K-CTI 2025] 국내 최대 사이버위협·침해사고대응 인텔리전스 컨퍼런스 개최(7시간 교육이수)

-주최: 데일리시큐

-일시 2025년 4월 15일(화) / 오전 9시~오후 5시

-장소: 한국과학기술회관 국제회의실 및 로비

-인원: 정보보호 실무자 700여 명(현업 보안책임자/실무자만 참석 가능)

-참가비: 현업 보안실무자는 무료

-교육이수: 공무원 및 일반기업 보안교육 7시간/CPPG, CISSP 등 교육이수 7시간 인정

-등록마감: 2025년 4월 13일 오후 5시까지

-참석불가: 학생, 프리랜서, 무소속, 정보보호 업무와 상관없는 자는 참석불가

-참관 및 참가기업 문의: 데일리시큐 길민권 기자 / mkgil@dailysecu.com