두루에너아이는 소스코드 보안약점과 오픈소스 취약점, 안전 관련 코딩표준 위반을 함께 점검하는 통합 정적분석 솔루션 '엑스펙AI 소스코드 진단(SAST)/오픈소스 진단(SCA) 버전 1.0'을 출품했다.
엑스펙AI는 소스코드를 실행하지 않고 SAST과 SCA, 코딩표준 검증, 품질 지표 측정을 하나의 플랫폼으로 통합했다. 압축한 소스코드를 한 번 올리면 네 영역의 결과를 하나의 화면과 보고서로 확인할 수 있다. 그간 개발 현장에서는 보안 점검과 오픈소스 관리, 코딩표준 검증, 품질 측정에 각각 다른 도구를 사용하고 결과를 다시 취합해야 하는 부담이 있었다.
가장 큰 차별점은 분석 결과를 설명하는 인공지능(AI)까지 고객사 내부망에서 동작한다는 점이다. 개발자가 결함의 수정 방법을 물으면 사내에 설치한 대규모언어모델(LLM)이 보안규정과 코딩 가이드 문서를 검색해 원인과 수정 코드를 제시한다. 검색증강생성(RAG) 방식으로 조직의 내부 기준에 맞는 조치 방법을 안내한다.
분석과 AI 질의응답을 사내 서버에서 처리해 소스코드와 내부 문서가 외부 클라우드로 나가지 않도록 했다. 보안상 외부 AI 서비스를 이용하기 어려운 공공·방산·제조 분야를 겨냥했다. 결함 판정은 규칙 기반 엔진이 수행하고 AI는 결과 설명과 수정 안내를 맡도록 역할을 구분했다.
자동차·가전 제어기 등 안전이 중요한 임베디드 소프트웨어(SW) 검증 기능도 갖췄다. 자체 개발한 탐지 규칙 452개를 적용해 미스라(MISRA) C·C++ 코딩표준 위반과 런타임 결함 75종을 점검한다. 탐지 결과에는 근거가 되는 표준 조항 번호를 표시해 감리와 인증 대응 자료로 활용할 수 있도록 했다.
국내 점검 기준도 반영했다. 방위사업청 소스코드 메트릭 6종을 포함한 품질 지표 30종을 측정하고, 행정안전부 소프트웨어(SW) 보안약점 진단 47개 항목과 탐지 규칙을 연결했다. 개발조직이 보안·품질 상태를 정량적으로 파악하고 규제 기준에 맞춰 결과를 정리할 수 있도록 지원한다.
사용자는 별도 프로그램 설치 없이 웹 브라우저로 접속할 수 있다. 한국어·영어·중국어·일본어 등 8개 언어 화면을 지원한다. 주요 대상은 차량 사이버보안 규제에 대응하는 자동차 전장 협력사, 시큐어코딩 점검이 필요한 공공·금융 SW 개발사, 오픈소스 취약점을 관리하는 IT 기업이다.
산업별 지식베이스를 고도화하고 최신 MISRA 표준 대응, 개발 파이프라인(CI/CD) 연동, 소프트웨어 자재명세서(SBOM) 관리로 기능을 확대할 계획이다.
심용규 두루에너아이 사장은 “국내 실증 사례와 다국어 지원을 바탕으로 동남아시아 제조·IT 아웃소싱 시장과 유럽 자동차 공급망 진출도 추진할 것”이라며 “외산 도구 대비 30~50% 낮은 가격 경쟁력을 앞세워 중소기업의 도입 부담을 낮춘다는 전략”이라고 말했다.
강성전 기자 castlekang@etnews.com
