최근 소프트웨어 공급망 공격이 급증하면서 개발 및 배포 과정(CI/CD)의 보안 취약점이 주요 위협으로 떠오르고 있습니다. CI/Lock은 이러한 문제에 대응하기 위해 CI/CD 파이프라인의 모든 단계에서 '무엇이 실행되었는지'에 대한 암호화된 증거(signed evidence)를 생성하고 검증하는 솔루션입니다. 이는 단순히 코드 서명이나 SHA 핀(pin)을 넘어, 실제 실행 환경의 무결성까지 보장하여 악의적인 코드 삽입이나 조작을 방지합니다.
CI/Lock은 빌드(Build), 보안 스캔(Security Scan), 런타임(Runtime), 지속적인 규제 준수(Continuous Compliance) 등 네 가지 핵심 체크포인트에서 증거를 수집합니다. 예를 들어, GitHub Actions나 GitLab CI에서 빌드된 결과물에 대해 SLSA(Supply-chain Levels for Software Artifacts) 표준에 맞는 in-toto 증명(attestation)을 생성하고, 이를 Fulcio ID 인증서와 RFC 3161 타임스탬프로 서명합니다. 또한, SAST, DAST, SBOM 생성 도구(예: Trivy, Semgrep)의 실행 결과와 런타임 보안 이벤트(예: Falco, Linkerd mTLS)까지 증거로 기록합니다. 이렇게 수집된 증거는 DSSE(Dead Simple Signing Envelope)와 in-toto 표준을 따르므로, 서로 다른 단계의 증거를 일관된 형태로 검증할 수 있습니다.
이 솔루션은 2026년 3월에 발생한 aquasecurity/trivy-action 태그 조작 사건이나 PyPI의 litellm 라이브러리 공급망 공격과 같은 실제 사례에서 드러난 방어 공백을 메웁니다. 당시 공격자들은 태그를 강제 푸시하거나 악성 코드를 숨겨 배포하여, 개발 파이프라인이 자격 증명을 탈취하는 코드를 실행하게 만들었습니다. CI/Lock은 이러한 공격을 막기 위해 승인된 카탈로그의 액션만 허용하고, 실행 중인 프로세스의 파일 접근 패턴을 분석하여 비정상적인 행위를 탐지하는 등 세 가지 독립적인 방어 계층을 제공합니다.
CI/Lock의 중요성은 단순히 공격 방어에 그치지 않습니다. FedRAMP, EU 사이버 복원력 법안(CRA), NIST 800-204D, SLSA, CMMC 등 전 세계적으로 강화되는 소프트웨어 공급망 보안 규제에 대한 자동화된 준수(compliance)를 가능하게 합니다. 수동으로 감사 보고서를 작성하는 대신, CI/Lock이 생성하는 기계 판독 가능한 서명된 증거를 통해 규제 요구사항을 충족할 수 있습니다. 이는 감사 프로세스를 간소화하고, AI 에이전트가 코드를 생성하고 CI를 수정하는 시대에 인간이 통제하는 암호화 게이트(cryptographic gates)를 제공하여 AI 기반 개발 워크플로우의 거버넌스 문제에도 대응할 수 있게 합니다.