레드햇·IBM, AI 거버넌스 오토메이션 오픈소스 'asago' 프로젝트 출범…라이트웰 무료 확장

asago(아사고) 오픈소스 프로젝트

목적

asago는 AI Safety and Governance Orchestration의 약자로, AI 거버넌스 정책을 AI 시스템에 직접 배포할 수 있는 운영 통제 수단으로 자동 변환하는 오픈소스 커뮤니티 프로젝트입니다. 컴플라이언스 팀이 정책 문서에 작성한 내용과 엔지니어링 팀이 실제로 구성·테스트·배포할 수 있는 내용 사이에 존재하는 지속적인 간극을 해소하는 것이 목표입니다.

작동 방식

이 프로젝트는 엔지니어링 팀과 컴플라이언스 팀 간의 분절된 단계를 연결하는 자동화되고 감사 가능한 워크플로를 제공합니다. 주요 프로세스는 다음과 같습니다:

• 업로드된 AI 거버넌스 정책 문서 읽기
• IBM AI Risk Atlas를 통해 정책 조항을 NIST AI RMF, OWASP LLM Top 10, EU AI Act 등 인정된 위험 프레임워크에 매핑
• 식별된 위험과 연결된 안전 테스트 생성
• 완화 조치 추천
• 추천 사항을 Kubernetes, Terraform, Ansible과 같은 도구에 바로 배포 가능한 설정으로 변환

각 단계는 정책 조항을 특정 테스트 또는 런타임 제어로 연결하는 문서화된 감사 추적을 생성하여, 검토자가 실제 운영 중인 안전장치를 그 근거가 된 규칙까지 추적할 수 있게 합니다. 레드햇은 이 프로젝트를 통해 배포 주기를 수개월에서 수일로 단축할 수 있을 것으로 기대하고 있습니다.

표준 연계

이 프로젝트는 NIST AI RMF(위험 관리 프레임워크), OWASP LLM Top 10, EU AI Act(유럽연합 인공지능법)을 명시적으로 지원합니다.

창립 파트너

창립 연합에는 다음과 같은 기관들이 포함됩니다:

• 레드햇(주관)
• IBM 리서치
• 마이크로소프트
• 엔비디아
• MIT 링컨 연구소
• 노스캐롤라이나 주립대학교
• 앨런 튜링 연구소
• Alquimia AI
• Brave Software
• EvalEval 연합
• 오스트리아 변혁종합대학교(IT:U)

프로젝트가 성숙해짐에 따라 추가 조직이 합류할 것으로 예상됩니다.

라이선스

asago는 Apache 2.0 오픈소스 라이선스로 제공됩니다. 프로젝트 코드는 현재 형성 단계에 있으며, GitHub 저장소에서 개발자, 학계 연구자, 기업 얼리어답터가 검토할 수 있습니다.

대학 및 NGO를 위한 Lightwell 무료 이용

발표 내용

2026년 8월 4일, IBM과 레드햇은 적격 대학, NGO 및 싱크탱크에 Lightwell(라이트웰) 을 무료로 제공한다고 발표했습니다. Lightwell은 오픈소스 소프트웨어 패키지의 취약점을 찾고 검증하며 복구하는 AI 기반 플랫폼입니다. 적격 기관의 온보딩은 2026년 8월부터 즉시 시작됐습니다.

작동 방식

• Lightwell은 IBM 및 레드햇 엔지니어와 함께 생성형 AI 기반 복구 엔진을 사용합니다.
• 시스템이 취약한 의존성을 식별하고 수정案을 개발한 후 기술적 검증을 거칩니다.
• 참여 기관은 기밀 정보에 대한 통제권을 유지합니다. Lightwell은 기관의 기존 환경 내에서 작동하며 독점 소스 코드, 연구 또는 개인 데이터에 접근할 필요가 없습니다.
• '업스트림 우선(upstream-always)' 접근 방식을 따릅니다. 수정 사항이 원래 오픈소스 커뮤니티에 제출되어 검토를 받게 되므로, 참여 기관뿐만 아니라 더 넓은 사용자 커뮤니티도 혜택을 볼 수 있습니다.

참여 기관이 받는 혜택

• 검증된 오픈소스 소프트웨어 취약점 수정본
• 디지털 서명된 소스 코드 및 소프트웨어 바이너리
• 소프트웨어 자재 명세서(SBOM)
• 규정 준수 문서
• 이미 운영 중인 소프트웨어 버전에 맞게 설계된 수정본 (즉시 주요 업그레이드를 수행할 수 없는 기관에 중요)

규모 및 적용 범위

• Lightwell을 통해 제공되는 검증 및 복구된 패키지 버전 수가 약 6,500개에서 8,000개 이상으로 증가했으며, 여기에는 이전에 공개되지 않은 64개의 취약점에 대한 수정 사항이 포함됩니다.
• 이 무료 이용 프로그램은 초기에 미국 내 185개 이상의 연구 대학과 100개의 NGO 및 싱크탱크를 대상으로 합니다.

이러한 이니셔티브를 추진하는 AI 안전 과제: 더 넓은 맥락

두 발표 모두 AI 시대의 상호 연결된 구조적 위험을 해결합니다:

• AI 스택의 오픈소스 의존성 위험: 현대 AI 소프트웨어 스택은 오픈소스 패키지에 크게 의존하며, 해당 패키지의 취약점은 AI 기반 공격자에 의해 대규모로 악용될 수 있습니다.
• 정책-엔지니어링 간극: 조직은 EU AI Act와 같은 광범위한 AI 원칙을 엔지니어가 배포하고 감사자가 검증할 수 있는 운영 통제 수단으로 전환하는 데 어려움을 겪습니다. asago는 이러한 단편화에 대한 직접적인 대응입니다.
• 자원이 부족한 공익 기관: 대학과 NGO는 사이버보안 인력과 예산이 부족하여 오픈소스 의존성을 보호하지 못하는 경우가 많아 공격에 취약합니다.
• AI 기반 위협: 수비수가 더 빠르게 취약점을 식별하는 데 도움이 되는 동일한 AI 기능이 공격자가 취약한 시스템을 발견하고 악용하는 데도 도움이 될 수 있습니다.

레드햇의 AI 엔지니어링 부사장 스티븐 휠스(Steven Huels)는 이 과제를 다음과 같이 설명했습니다: "조직이 실험적인 AI 파일럿에서 장기 실행되는 자율 에이전트로 전환함에 따라 명확한 운영 가드레일을 확립하는 것이 중요한 인프라 요구사항이 됩니다".

이번 발표는 2026년 5월에 발표된 50억 달러 규모의 '프로젝트 라이트웰' 약속, 엔비디아가 출범하고 레드햇이 창립 멤버로 참여한 '오픈 시큐어 AI 얼라이언스(Open Secure AI Alliance)' , 그리고 "어떤 단일 조직도 (AI 안전 및 보안 과제를) 혼자서 해결할 수 없다"는 업계의 광범위한 인식(마이크로소프트, 사라 버드)을 기반으로 합니다.