피드로 돌아가기
The RegisterSecurity
원문 읽기
AI-BOM 및 Model Provenance Kit를 통한 AI 공급망 가시성 확보
Shadow IT has given way to shadow AI. Enter AI-BOMs
AI 요약
Context
기존 SBOM 체계로는 AI 모델, Dataset, Prompt 등 비정형 AI 자산의 의존성 파악이 불가능한 한계 존재. 특히 Shadow AI 도입으로 인한 비인가 도구 사용과 데이터 유출 리스크가 증가하는 상황임.
Technical Solution
- AI-BOM 도입을 통해 모델, SDK, MCP 서버, Prompt 등 AI 전용 구성 요소의 전수 인벤토리 구축
- Model Provenance Kit의 Compare 모드를 활용한 Metadata, Tokenizer, Weight-level 신호 기반의 모델 유사도 측정
- Scan 모드와 150개 이상의 Base Model 핑거프린트 데이터베이스를 대조하여 모델의 Lineage 추적 및 출처 검증
- 최종 Artifact뿐만 아니라 IDE, Laptop 등 개발 워크스테이션의 Tooling 환경까지 분석 범위 확장
- Non-human Identity 기반의 권한 셋(Permission sets) 분석으로 AI 워크로드의 접근 제어 가시성 확보
- 상태 변화(State change) 모니터링을 통해 System Prompt 변경 사항을 추적하여 악의적 조작 탐지
실천 포인트
- AI 모델 도입 시 Model Provenance Kit와 같은 도구로 Base Model 출처 및 Fine-tuning 이력 검증 - AI-BOM에 모델뿐만 아니라 Prompt, Agentic Skills, SDK 라이브러리를 포함하여 의존성 맵 작성 - 개발 환경(IDE, Tooling) 내 설치된 AI 플러그인 및 확장 도구의 인벤토리 식별 - AI 워크로드에 할당된 Non-human Identity의 권한 범위를 최소 권한 원칙(PoLP)에 따라 재검토