포스아이디, AI 코딩 시대 겨냥 ‘에이전틱 SCA’ 공개…오픈소스 준수·취약점 실시간 점검

소프트웨어 공급망 관리 기업 포스아이디(FossID AB)가 개발 단계에서 라이선스와 보안 이슈를 실시간으로 점검할 수 있는 새 기술 ‘에이전틱 SCA’를 공개했다. 생성형 인공지능(AI)이 코드 작성과 수정을 빠르게 대체하는 흐름 속에서, 기존 소프트웨어 구성 분석(SCA) 도구의 한계를 보완하려는 시도다.

포스아이디는 14일(현지시간) 자사 신기술이 소프트웨어 공급망 내부에 직접 연결돼, 개발자가 코드를 작성하거나 AI가 코드를 생성하는 순간부터 규정 준수 여부를 확인할 수 있다고 밝혔다. 기존 SCA가 배포 직전이나 사후 점검에 가까웠다면, 이번 기술은 분석 방식을 ‘사후 대응’에서 ‘상시 점검’으로 바꾼 것이 핵심이다.

회사는 최근 생성형 AI 도구가 여러 출처의 코드를 빠르게 조합하면서, 코드 출처가 불명확해지고 라이선스 의무나 취약점 식별이 더 어려워졌다고 설명했다. 특히 전통적인 SCA 도구는 의존성 기반의 관리형 코드 개발 환경에 맞춰 설계돼 있어, 오픈소스와 서드파티 코드, 자체 개발 코드가 뒤섞인 현재 개발 환경을 충분히 따라가지 못한다고 지적했다. 이로 인해 라이선스 준수, 취약점 탐지, 소프트웨어 자재명세서(SBOM) 정확성에서 공백이 생길 수 있다는 주장이다.

에이전틱 SCA는 AI 에이전트가 전체 코드나 코드 조각 단위로 오픈소스, 외부 코드, 독점 코드를 식별할 수 있도록 설계됐다. 동시에 복합 라이선스와 혼합 라이선스 같은 까다로운 상황도 판별하고, 저작권 관련 고려 사항도 초기 단계에서 드러낼 수 있다. 여기에 알려진 보안 취약점을 실시간으로 탐지하고 즉시 대응 방안까지 제시하는 기능도 포함됐다.

포스아이디는 이 기술을 통해 개발자가 코드 커밋 이전에 ‘준수 가능한 선택’을 할 수 있고, 법무·보안 정책도 개발 흐름을 끊지 않은 채 자동 적용할 수 있다고 강조했다. 결과적으로 늦은 시점의 규정 검토 대신, 상시적인 서드파티 라이선스·보안 점검 체계를 구현해 개발 속도와 SBOM 품질을 함께 끌어올릴 수 있다는 설명이다.

코드베이스 전체 분석…감사 보고서도 지속 업데이트

새 플랫폼은 단순 스캔 도구를 넘어 고속 소스코드 감사 기능도 제공한다. AI 에이전트는 전체 코드베이스를 대상으로 시그니처 스캔, 코드 조각 탐지, 의존성 분석, 심층 라이선스·저작권 분석을 수행할 수 있다. 또 구성 요소와 라이선스, 취약점을 식별한 뒤 실제 위험도와 영향도를 기준으로 우선순위를 정하고, 공유 가능한 표준화된 감사 보고서까지 생성할 수 있다.

특히 코드가 계속 바뀌는 환경에 맞춰 감사 보고서를 지속적으로 업데이트할 수 있다는 점도 눈에 띈다. 이는 한 번의 점검으로 끝나는 기존 감사 방식보다 변화 속도가 빠른 AI 개발 환경에 더 적합한 접근으로 읽힌다.

기술 구현 방식도 AI 친화적으로 설계됐다. 포스아이디는 자사 기술을 AI 시스템이 직접 활용할 수 있도록 ‘에이전트 호환 아키텍처’로 제공하며, 포스아이디 MCP 서버를 통해 자사 지식베이스와 핵심 분석 도구를 노출한다. 이 서버는 모델 컨텍스트 프로토콜(MCP)을 기반으로 동작하며, 시그니처 스캔, 코드 조각 탐지, 라이선스 분석, 의존성 분석 기능을 AI 에이전트가 바로 사용할 수 있게 한다.

포스아이디는 현재 자동차, 반도체, 통신, 소프트웨어 등 주요 산업군의 일부 기업 고객을 대상으로 파일럿 테스트를 진행 중이라고 밝혔다. 정식 출시는 올해 하반기로 예상된다.

AI가 소프트웨어 생산성을 끌어올리는 동시에 코드 출처와 책임 문제를 더 복잡하게 만드는 만큼, 실시간 규정 준수와 보안 감사를 지원하는 도구 수요도 커질 가능성이 있다. 포스아이디의 에이전틱 SCA가 실제 기업 환경에서 개발 속도와 통제 사이의 균형을 얼마나 잘 맞출 수 있을지 주목된다.