소프트웨어 공급망은 생태계다. 하나의 취약점이 발견됐을 때, 그것이 얼마나 빠르게, 어떤 경로로 전파되는가?바이러스처럼 퍼지는 취약점의 리스크 전파를 수학적으로 모델링하는 것이 이번 연구의 핵심이다.
연구팀은 시스템 다이나믹스 방법론을 활용했다. 소프트웨어 공급망 내 컴포넌트들의 의존 관계를 네트워크로 표현하고, 취약점이 하나의 노드에서 발생했을 때 연결된 컴포넌트로 얼마나 빠르게 확산되는지 시뮬레이션했다.
핵심 발견:의존성 깊이보다 의존성 폭이 위험 전파에 더 결정적이었다. 많은 컴포넌트에 의존되는 "허브" 패키지가 취약해지면, 직접 의존하지 않더라도 간접 경로를 통해 전파가 이루어졌다.
패치 적용 속도도 결정적 변수였다. 취약점 공개 후 72시간 내 패치가 이루어지면 전파 위험이 급격히 감소했지만, 1주일 이상 지연되면 리스크가 기하급수적으로 증가했다.
이 모델은 기업이 어떤 컴포넌트를 우선적으로 업데이트해야 하는지 의사결정하는 데 실용적 지침을 제공한다. SCA(소프트웨어 컴포지션 분석) 도구와 결합하면 선제적 리스크 관리가 가능하다.
📖 *Supply chain vulnerability risk contagion* |
논문Software supply chains are ecosystems. When a vulnerability is discovered, how quickly and through what pathways does it propagate? Mathematically modeling virus-like risk contagion is the core of this research.
Researchers applied System Dynamics methodology — representing supply chain component dependencies as a network, simulating how quickly a single-node vulnerability spreads to connected components.
Key finding: dependency breadth (width) was more decisive than depth for risk propagation. "Hub" packages depended on by many components, when compromised, propagated even to non-direct dependents through indirect paths.
Patch application speed was also critical. Patches within 72 hours of disclosure dramatically reduced propagation risk, but delays beyond one week caused exponential risk growth.
This model provides practical guidance for organizations deciding which components to prioritize for updates — combined with SCA tools, proactive risk management becomes achievable.
📖 *Supply chain vulnerability risk contagion (System dynamics)*
