티사이언티픽(1,474원 ▲4 +0.27%)은 과학기술정보통신부와 한국인터넷진흥원(KISA)이 주관하는 '2026년 공급망 보안 모델 구축 지원사업'의 일환으로 SBOM(Software Bill of Materials) 기반 공급망 보안 시스템 '스코프(SCOPE)' 구축에 착수했다고 20일 밝혔다.
회사는 향후 스코프에 보안 특화 에이전틱 AI(인공지능)를 적용해 소프트웨어의 취약점을 찾아내고 위험도를 분석해 대응까지 지원하는 지능형 보안 플랫폼으로 발전시킬 계획이다.
SBOM은 소프트웨어에 어떤 오픈소스와 라이브러리, 모듈 등이 사용됐는지를 기록한 일종의 '소프트웨어 부품 명세서'다. 자동차 제조사가 차량에 들어간 수많은 부품과 공급업체를 관리하는 것처럼, 소프트웨어에 사용된 구성요소와 버전을 파악해 보안 문제가 발생했을 때 영향을 받는 제품과 서비스를 신속하게 확인할 수 있도록 한다.
티사이언티픽은 현재 운영 중인 모바일 커머스 서비스와 자사 제품군에 SBOM을 적용하기 위해 스코프 구축을 추진하고 있다. 스코프는 제품과 서비스별 SBOM을 생성하고, 이를 알려진 보안 취약점 정보와 비교해 어떤 소프트웨어에 위험 요소가 있는지를 분석한다.
발견된 취약점이 실제 자사 제품이나 서비스에 영향을 미치는지도 추가로 판단한다. 소프트웨어에 취약한 구성요소가 포함돼 있더라도 실제 사용 방식이나 환경에 따라 위험에 노출되지 않을 수 있기 때문이다. 스코프는 VEX(Vulnerability Exploitability eXchange)를 활용해 실제 영향을 미치는 취약점을 구분하고, 대응이 필요한 위험을 보다 효율적으로 관리할 수 있도록 지원한다.
티사이언티픽은 여기에 보안에 특화된 에이전틱 AI(Agentic AI)를 적용할 계획이다. 사람이 일일이 수많은 취약점을 확인하고 대응 순서를 정하는 대신 AI가 SBOM과 취약점 정보를 분석해 위험도가 높은 문제를 우선 선별하고 대응 방안까지 제시하는 방식이다.
이를 위해 SBOM 분석, 취약점 영향평가, 위험 우선순위 판단, 대응 방안 추천 등 각각의 보안 업무를 담당하는 전문 AI 에이전트를 구성하고, 이들이 서로 협업하는 보안 운영모델을 구현할 계획이다.
독자들의 PICK!
다만 AI가 보안 시스템을 임의로 변경하거나 모든 대응을 자동으로 수행하는 방식은 아니다. AI가 위험을 분석하고 대응 방안을 제시하면 보안 담당자가 이를 검토해 실제 조치 여부를 최종 결정하는 '휴먼-인-더루프'(Human-in-the-Loop)방식을 적용한다. 이를 통해 AI의 분석 속도와 효율성을 활용하면서도 중요한 보안 의사결정은 사람이 통제하도록 할 계획이다.
티사이언티픽은 스코프를 단순히 소프트웨어 구성요소를 관리하는 시스템에 그치지 않고, '어떤 소프트웨어가 사용되고 있는지 파악하고 → 취약점을 찾아내고 → 실제 위험도를 판단하고 → AI가 대응 우선순위와 방안을 제시하는' AI 기반 공급망 보안 플랫폼으로 발전시킨다는 구상이다.
유승재 티사이언티픽 대표는 "소프트웨어가 복잡해질수록 어떤 구성요소가 사용되고 있고, 그중 실제 보안 위험이 무엇인지 신속하게 파악하는 것이 중요해지고 있다"며 "스코프와 보안 특화 Agentic AI를 결합해 취약점 발견부터 위험 분석, 대응까지 효율적으로 지원하는 AI 기반 공급망 보안체계를 구현해 나가겠다"고 말했다.
티사이언티픽은 기존 모바일 커머스 사업 중심에서 탈피해, 보안 전문 기업 넷크루즈 합병 및 PQC 보안 얼라이언스 출범을 통해 AI·클라우드 기반 융합 보안 플랫폼 기업으로 체질 개선을 시도 중인 코스닥 상장사다.
