차량 SW 보안: 이제 ‘패치’가 아니라 ‘거버넌스’의 문제다
차량 SW 보안: 이제 ‘패치’가 아니라 ‘거버넌스’의 문제다
VicOne 2026 Automotive Cybersecurity Report에 따르면, 2025년 자동차 보안 사고는 610건, 취약점은 1,384건으로 집계됐고, 공격 대상은 IT/백엔드를 넘어 IVI, 게이트웨이, ECU 등 차량 내부 시스템 39.7%로 확대되고 있다고 합니다.
취약점 측면에서는 Critical/High 등급 765건, Use-After-Free 90건, SQL Injection 74건, Out-of-Bounds Read 70건 등 오래된 SW 결함 유형이 여전히 반복되고 있어 보안 코딩과 검증 체계의 성숙도가 핵심 과제로 부상했습니다.
SDV, OTA, 클라우드, EV 충전 인프라가 연결되면서 글로벌 영향 사고도 161건으로 늘었으며, 이런 전반적으로 보안 사고 및 취약점을 놓고 봤을 때 확실히 차량 보안은 단순 패치 관리가 아니라 기능안전, 사이버보안, ASPICE를 통합한 제품 생애주기 거버넌스 문제로 이동하고 있다고 할 수 있습니다.
SDV 전환의 현실 점검: 기술보다 실행력이 승부를 가른다
글로벌 기술 시장조사 자문기관인 Omdia에서는 SDV 성숙도를 Level 0~5로 구분하는데, Level 0은 기본 SW 제어 차량, Level 1은 연결형 차량, Level 2는 일부 OTA 업데이트 차량, Level 3는 구매 후 기능 추가가 가능한 업그레이드형 차량, Level 4는 통합 SW 플랫폼 차량, Level 5는 중앙 AI가 차량, 인프라, 외부 서비스를 조율하는 Agentic Orchestrator 단계로 정의합니다.
2026년 SDV 시장은 아직 초기 단계로, 현재 차량의 69%가 SDV Level 0~2에 머물고 Level 4는 9%, Level 5는 4%에 불과해 ‘대전환’보다 ‘현실 조정’ 국면에 들어섰다고 합니다. 2026~2027년에 핵심 SDV 기술을 도입하려는 기업이 39~45%에 몰려 있지만, 실제 구축 진척은 평균 1% 수준에 그치고 하이퍼바이저 도입 기대도 54%→43%로 낮아져 일정 지연과 실행 리스크가 커지고 있다고 합니다.
OEM의 관심은 데이터 판매보다 제품 경쟁력 강화로 이동해, 데이터 수익화 우선순위는 51%→44%로 하락한 반면 ADAS 개선은 35%→41%, 데이터 기반 제품 개선은 32%→38%로 상승했다고 합니다. 즉 SDV 전환은 기술 도입 경쟁에서 끝나는 것이 아니라, OTA 신뢰성, 조직 역량, 데이터 활용 전략까지 갖춘 OEM만이 실제 제품 경쟁력으로 연결할 수 있는 실행력 싸움으로 바뀌고 있는 것으로 보입니다.
자율주행 리콜이 보여준 과제: 예외 상황 판단도 안전의 핵심이다
Waymo는 자율주행 시스템을 사용하는 로보택시 3,791대를 대상으로 자발적 소프트웨어 리콜을 신고했습니다. 이번 리콜은 4월 샌안토니오 악천후 상황에서 일부 차량이 고속도로의 침수된 통행 불가 구간으로 진입할 수 있는 소프트웨어 결함이 확인된 데 따른 것입니다.
Waymo는 기상 관련 주행 제한을 강화하고 임시 소프트웨어 업데이트를 배포했지만, 최종 개선 조치는 아직 개발 중이라고 밝혔습니다.
자율주행에서는 ‘인지 성공’과 ‘안전한 의사결정’이 별개라는 점을 보여주는 사례입니다. 아울러 자율주행차의 안전성은 주행 성능뿐 아니라 예외 상황을 얼마나 보수적으로 판단하고 OTA 이후에도 규제, 리콜 체계 안에서 검증할 수 있는지가 핵심이 되고 있습니다.