스패로우, AI 코드 보안 日 출시…유럽 규제 대응 수요 겨냥

[경제일보] 스패로우가 AI 코딩 확산과 유럽 보안 규제에 대응해야 하는 일본 기업을 겨냥해 현지 사업을 확대한다. 개발 단계에서는 AI가 만든 코드와 오픈소스를 점검하고, 제품에 포함된 소프트웨어 구성요소를 추적해 공급망 위험을 관리하도록 지원하는 전략이다.

스패로우는 오는 21~23일 일본 도쿄 다카나와 게이트웨이 컨벤션센터에서 열리는 ‘시큐리티 데이즈 폴 2026’에 참가한다고 19일 밝혔다. 단독 부스 B22에서 AI 생성 코드 보안 어시스턴트 ‘스패로우 MCP’와 통합 보안 분석 솔루션 ‘스패로우 엔터프라이즈’를 선보인다. 지난 6월 국내 출시한 스패로우 MCP를 일본 시장에 처음 공개하고 현지 판매에 나선다.

스패로우 MCP는 코덱스와 클로드 코드 등 AI 코딩 에이전트에 보안 분석 기능을 연결한다. MCP는 AI가 외부 도구·데이터와 소통하는 표준 연결 방식이다. 개발자가 자연어로 점검을 요청하거나 분석 규칙을 설정하면 생성·수정한 코드의 보안 약점과 사용된 오픈소스의 취약점·라이선스를 확인할 수 있다.

AI가 작성한 코드에도 취약한 외부 라이브러리나 기업 정책과 맞지 않는 라이선스가 포함될 수 있다. 코드 작성 과정에서 분석 결과를 제공해 문제가 있는 구성요소를 제품에 포함하기 전에 검토하도록 하는 것이 제품의 역할이다.

일본 시장 공략의 또 다른 배경은 유럽연합(EU)의 사이버복원력법(CRA)이다. EU 집행위원회에 따르면 지난 9월 11일부터 적용 대상 디지털 제품 제조사에는 실제 악용 중인 취약점과 제품 보안에 영향을 주는 중대 사고를 보고할 의무가 적용됐다. 인지 후 24시간 이내 조기 경보, 72시간 이내 상세 신고가 요구된다. 주요 제품 보안 의무는 2027년 12월 11일부터 적용된다.

유럽에 해당 제품을 공급하는 일본 기업도 대응이 필요하다. 어떤 오픈소스가 어느 제품에 들어갔는지 파악해야 취약점 발견 때 영향 범위를 좁히고 조치·보고를 준비할 수 있다. 제품 출시 전 점검과 출시 이후 구성요소 관리가 연결되는 이유다.

스패로우 엔터프라이즈는 소스코드·오픈소스·웹 취약점을 한 환경에서 분석하고, 소프트웨어 구성요소 목록인 자재명세서(SBOM)를 자동 생성한다. SPDX·CycloneDX 형식을 지원하며, 악용 가능성 예측 점수인 EPSS와 실제 악용이 확인된 취약점 목록인 KEV 정보를 제공한다. 발견한 취약점 가운데 먼저 조치할 대상을 정하는 데 활용하는 방식이다.

현지 파트너 베리서브는 21일 낮 12시 10분부터 30분간 CRA 대응 세션을 진행한다. 공식 프로그램에 따르면 소스코드 보안 분석과 오픈소스 식별, SBOM 생성·관리, 지속적인 취약점 관리 방안을 설명한다. 스패로우는 일본 자동차·화학·로봇 제조기업 등에 제품을 공급해온 기반에 AI 코드 보안 제품을 추가한다는 구상이다.

장일수 스패로우 대표는 “디지털 전환과 인공지능(AI) 전환 흐름이 이어지는 일본 시장에서 ‘Sparrow MCP’가 개발 단계의 보안 효율을 높이는 데 도움이 되길 바란다”며 “이번 시큐리티 데이즈를 기점으로 현지 파트너사와의 협력을 공고히 해 일본 기업이 CRA에 대응하고 소프트웨어 공급망 보안을 강화할 수 있게 적극 지원하겠다”고 밝혔다.