G7은 «인공지능 소프트웨어 구성요소 목록»(AIBOM)의 최소 요소에 관한 공동 프레임워크를 규정했다. 이는 인공지능 시스템의 구성요소와 출처, 구성요소 간 종속 관계를 더욱 추적하기 쉽게 만드는 것을 목표로 한다. 이 프레임워크는 소프트웨어 구성요소 목록(SBOM)의 개념을 확장한 것이지만, 모델, 데이터 세트, 인프라, 평가 결과 등 인공지능 시스템을 특징짓는 추가 특성에 초점을 맞춘다.
MONOist에 게재된 기사에 따르면, 독일과 이탈리아는 2023년부터 G7의 업무에서 «인공지능을 위한 SBOM» 개념을 다뤄 왔다. 또한 이 과정과 관련된 결과는 2025년 5월 12일과 13일 캐나다 오타와에서 열린 사이버 보안 작업반 회의에서 승인됐다. 2026년 5월 12일에는 G7 국가의 사이버 보안 기관들이 참여한 가운데 Software Bill of Materials (SBOM) for Artificial Intelligence - Minimum Elements라는 제목의 프레임워크가 발표됐다.
AIBOM은 SBOM에 무엇을 추가하는가?
이 프레임워크는 AIBOM을 기존 소프트웨어 목록의 단순한 확장판으로 취급하지 않는다. AIBOM은 학습, 테스트, 검증, 훈련에 사용된 데이터 세트와 평가 결과를 포함해 시스템 구성요소를 시스템 수명 주기와 연결한다. 명시된 목표는 공급망과 구성요소 간 관계에 대한 이해를 높여 인공지능 시스템의 보안을 지원하는 것이다.
기사에 따르면 이 프레임워크는 세 가지 기본 원칙을 요구한다. 인공지능 시스템을 고유한 특성을 통해 기존 소프트웨어 시스템과 구별할 수 있어야 하며, 정보는 도구가 읽고 처리할 수 있는 형식으로 제시되어야 한다. 또한 데이터 구조는 다양한 이해관계자가 요구하는 정보를 포함할 수 있어야 하며, 구성요소 간 관계를 확장 가능한 방식으로 표현할 수 있어야 한다.
일곱 가지 요소 그룹
이 프레임워크는 최소 요소를 일곱 가지 주요 그룹으로 구성한다. 여기에는 시스템 특성과 시스템 수준의 데이터, 모델 특성, 데이터 세트 특성, 인프라, 보안 특성, 핵심성과지표(KPI)와 같은 성능 평가 지표가 포함된다. 이러한 구성은 시스템 구성요소를 소프트웨어 패키지 이름이나 버전 번호를 넘어 시스템의 동작과 위험에 실제로 영향을 미치는 요소를 포함한 정보와 연결할 수 있도록 한다.
기사에서는 인공지능 에이전트의 급속한 확산으로 자율성과 의도 같은 요소를 문서화하는 일이 더욱 중요해지고 있다고도 지적한다. 그러나 이러한 요소는 시스템 사용 방식에 따라 달라질 수 있으므로, 완성되고 최종적인 요구사항으로 제시하기보다는 추가 연구가 필요하다는 점이 제시됐다.
이 소식이 중요한 이유
실질적으로 AIBOM은 기관과 규제 당국에 인공지능 시스템 구축에 무엇이 포함되는지, 누가 이를 공급하는지, 구성요소가 서로 어떻게 연결되는지를 이해하기 위한 공통 기반을 제공한다. 이는 보안 사고를 조사하거나 모델, 데이터 세트 또는 외부 구성요소의 변경이 미치는 영향을 평가할 때 중요하다. 또한 이러한 흐름은 유럽 인공지능법, 사이버 보안 프레임워크, 유럽 보건 데이터 공간(EHDS)의 요구사항을 비롯한 더 광범위한 규제 및 보안 적용과도 일치한다.
그러나 이 프레임워크만으로 인공지능 공급망 보안 문제가 해결되는 것은 아니다. 기사에서는 AIBOM만으로 공급업체의 보안을 보장하기에는 충분하지 않으며, 이를 적용하려면 위험 관리 도구, 기타 보안 관행, 정보의 검증과 변경 사항 추적이 가능한 자문 인력 또는 메커니즘과의 통합이 필요하다고 경고한다. 또한 상호운용성은 SPDX 프로젝트의 작업을 비롯해 도구와 표준의 발전과 계속 연관될 것이다.