AI가 작성한 코드를 배포할 때 어떤 모델이 그것을 작성했는지 기록이 남지 않는 이유는 무엇인가?

AI 어시스턴트는 이제 프로덕션 코드의 상당하고 증가하는 비율을 작성하지만, 어떤 아티팩트 형식도 특정 함수를 생성한 모델, 버전, 또는 프롬프트를 기록하지 않는다. 특정 모델 세대가 일관되게 도입하는 패턴에서 취약점이 추적될 때, 동일한 출처를 공유하는 모든 함수를 찾기 위해 코드베이스나 패키지 레지스트리를 쿼리할 방법이 없다. SPDX와 CycloneDX가 표준화한 소프트웨어 자재 명세서(SBOM)는 라이브러리 종속성을 캡처하지 소스 코드의 저작권 출처는 캡처하지 않는다. 2026년 Cloudsmith 공급망 조사에서는 응답자의 29퍼센트가 AI 생성 패키지 위험을 최대 오픈소스 보안 우려 사항으로 지목했으며, 4분의 3의 조직은 SBOM을 능동적 거버넌스 도구가 아닌 정적 규정 준수 아티팩트로 취급한다고 밝혔다. EU AI Act와 미국의 AI 행정명령은 모두 소프트웨어 공급망 무결성을 언급하지만 어느 쪽도 구체적으로 명시하지 않