Sparrow Enterprise

한마디로

Sparrow Enterprise는 코드의 보안 검사관입니다. 개발자가 코드를 쓰는 순간 위험한 부분을 짚어 주고, 어떤 오픈소스 부품이 몇 버전으로 들어갔는지 목록(SBOM)을 쌓고, 기준에 못 미치는 코드는 배포되지 않게 막습니다.

AI가 짠 코드, 누가 검증하고 있습니까

코드는 빨라졌는데 검증은 그대로입니다. AI 코딩은 학습 데이터에 포함된 알려진 취약점을 그대로 재현하고, 정상처럼 보이는 코드라 사람 리뷰에서 걸러지지 않으며, AI가 고른 패키지가 취약한 버전 그대로 딸려옵니다. 생산량은 늘었는데 점검은 사람 속도 그대로입니다.

스패로우는 외산 도구와 경쟁해 국내 정적분석 도구 시장 1위를 지켜온 국산 솔루션입니다. 국내 최초 CWE 인증, 시큐어코딩 진단도구 CC 인증, 실행의미 기반 오류분석 분야 국내 첫 GS 인증을 보유하고 있습니다.

왜 지금인가

과학기술정보통신부·국가정보원 소프트웨어 공급망 보안 로드맵(2026. 6)에 따라 2027년부터 소프트웨어에 성분표(SBOM)를 붙입니다.

공공에서 시작하지만, 납품하는 민간 기업에 같은 요구가 내려옵니다. 취약점이 나오면 어느 제품에 그 부품이 들어갔는지 목록이 있어야 답이 나옵니다.

무엇을 검사하나

개발 도구(VSCode, IntelliJ, Eclipse), 형상 관리(GitHub, GitLab, Azure DevOps), 빌드·배포(Jenkins 등 CI/CD)에 붙고, 온프레미스·폐쇄망 구축을 지원합니다.

개발 흐름 안에서 어떻게 동작하나

사고에서 배운 것

2026년 5월 티빙 침해 사고에 대한 과학기술정보통신부 민관합동조사단 조사 결과(2026. 9. 3)에 따르면, 2024년 모의해킹이 하드코딩 취약점을 지적했지만 조치되지 않았고, 소스코드에 평문으로 있던 운영환경 접속키가 유출 경로가 되었습니다. 하드코딩된 접속키는 정적분석의 기본 점검 항목입니다. 코드 단계에서 할 일은 이런 키를 커밋 전에 찾아내고, 남아 있으면 배포를 멈추는 것입니다. 사고 전체의 흐름은 블로그 글에서 다룹니다.

도입 순서

전 저장소를 한 번에 걸지 않고 파일럿 한 건부터 봅니다.

구성과 산정 기준

TDG와 함께

TDG는 라이선스 공급과 계약, 설계와 구축, 개발 파이프라인 연동, 점검 기준 수립과 오탐 조정, 정기 진단과 SBOM 보고를 맡습니다. 시작은 저장소 하나로 하는 오픈소스 현황 진단입니다. AI 코딩 도구를 쓰는 팀이라면 코드가 만들어지는 순간 검증하는 Sparrow MCP를 함께 붙여 두 번 거릅니다. 코드에 남은 접속키를 찾는 일은 내부 자산 집중 점검과, AI 공격자가 먼저 노리는 약점을 줄이는 일은 외부 AI 공격에 대비하기와 이어집니다.

출처: 스패로우 제품 자료 및 Sparrow Enterprise 제품소개서(TDG 제안서), 과학기술정보통신부·국가정보원 소프트웨어 공급망 보안 로드맵(2026. 6), KISA SW 공급망 보안 가이드라인 1.0, 과학기술정보통신부 민관합동조사단 조사 결과 발표(2026. 9. 3).