래브라도랩스 145억 시리즈B 분석: 코드 속 취약점 찾는 보안 스타트업의 글로벌 진출 전략

💡 핵심요약

고려대학교 소프트웨어 보안연구소(CSSA) 스핀오프 기업 래브라도랩스(대표 김진석·이희조)가 2026년 3월 23일 총 145억원 규모의 시리즈B 투자를 유치했다. 신한벤처투자, DS자산운용, 포스코기술투자, 스톤브릿지벤처스, 코리아에셋, 티케인베스트먼트, 노보섹인베스트먼트가 참여했으며, 신한벤처투자와 포스코기술투자는 전략적 투자 관점에서 이번 라운드에 참여했다.

래브라도랩스는 소프트웨어를 구성하는 오픈소스 부품들을 자동으로 분석해 보안 취약점과 라이선스 위반을 찾아내는 'SCA(소프트웨어 구성 분석, Software Composition Analysis)' 솔루션과, 소프트웨어에 어떤 구성 요소가 들어 있는지 성분표처럼 정리하는 'SBOM(소프트웨어 구성 명세서, Software Bill of Materials)' 교환 플랫폼을 핵심 제품으로 개발했다. 여기에 운영 서버 실시간 취약점 관리 도구(래브라도 서버케어)와 공급망 보안 특화 AI 모델(래브라도 LLM)까지 갖춘 SW 공급망 보안 토털 플랫폼이다.

한국·미국 특허 알고리즘 센트리스(CENTRIS)·버디(VUDDY)를 기반으로 경쟁사 대비 높은 컴포넌트 탐지 정확도를 확보했다. 2023년 세계 최초 로봇 수술 시스템 다빈치 제조사 인튜이티브 서지컬(Intuitive Surgical)에 SBOM 솔루션을 납품하며 국내 최초로 글로벌 시장에 SBOM 솔루션을 수출했다. 국방부·국가보안기술연구소·KT·주요 금융기관 등이 고객사다.

---

투자 개요

기본 정보

항목	내용
회사명	래브라도랩스 (Labrador Labs, 구 아이오티큐브)
대표자	김진석, 이희조 (이희조: 고려대 컴퓨터학과 교수)
설립	2018년 3월
모태	고려대학교 SW 보안연구소(CSSA) 스핀오프
매출	약 16.7억원 (2024년 기준)
주요 제품	래브라도 SCA, 래브라도 SCM, 래브라도 서버케어, 래브라도 LLM

이번 투자 라운드

항목	내용
발표 시기	2026년 3월 23일
투자 라운드	시리즈B
투자 금액	145억원

투자 기관

• 전략적 투자 관점 참여: 신한벤처투자, 포스코기술투자
• 재무적 투자자: DS자산운용, 스톤브릿지벤처스, 코리아에셋, 티케인베스트먼트, 노보섹인베스트먼트

투자 히스토리

라운드	시기	주요 내용
TIPS	2018년	고려대 기술지주 TIPS 제1호 투자
시리즈A	2021년	초기 솔루션 개발·고객 확보
시리즈B	2026년 3월	145억원, 전략적 투자자 참여

---

비즈니스 모델 & 수익구조

배경: SBOM·SCA가 뜨는 이유 — "코드 성분표" 의무화 시대

오픈소스 소프트웨어는 현대 SW 개발의 핵심이다. 기업들이 개발하는 제품의 70~90%가 오픈소스 구성 요소로 이루어져 있다. 오픈소스란 누구나 무료로 가져다 쓸 수 있는 공개 코드를 말한다. 문제는 이 오픈소스들이 보안 취약점을 갖고 있을 때 기업이 자신들의 제품 속에 무엇이 들어 있는지조차 모른다는 것이다. 2021년 log4j 사태는 전 세계를 떠들썩하게 만들었다. log4j라는 오픈소스 라이브러리 하나의 취약점이 수십만 개 기업의 시스템을 동시에 위협했다. 이후 SW 공급망 공격은 2022년 이후 200% 이상 증가했다.

이에 대응해 각국 정부가 규제를 의무화하기 시작했다. 핵심 개념이 두 가지다. SCA(소프트웨어 구성 분석, Software Composition Analysis)는 내 소프트웨어에 어떤 오픈소스 부품이 들어 있는지, 그 부품에 알려진 취약점이 있는지 자동으로 분석하는 기술이다. SBOM(소프트웨어 구성 명세서, Software Bill of Materials)은 식품의 성분표처럼 소프트웨어에 포함된 모든 구성요소를 한눈에 정리한 문서다.

미국은 바이든 행정명령 EO 14028으로 연방 정부가 구매하는 모든 소프트웨어에 SBOM 제출을 의무화했고, 유럽은 사이버복원력법(CRA)으로 EU 시장 출시 SW에 SBOM을 요구한다. 국내도 국가정보원 보안적합성 검증 기준에 SCA·SBOM이 포함되며 의무화 흐름이 가속화되고 있다.

래브라도랩스는 이 규제 의무화 물결이 오기 전부터 핵심 기술을 개발한 선점 기업이다.

수익원 1: SCA 솔루션 — 오픈소스 취약점·라이선스 자동 분석 B2B

SCA(소프트웨어 구성 분석) 솔루션 '래브라도'는 소프트웨어에 포함된 오픈소스 부품들을 자동으로 탐지하고, 이미 알려진 보안 취약점(CVE: 공개 취약점 목록)과 무단 사용 시 법적 문제가 생기는 라이선스 위반 리스크를 식별한다. 예를 들어 내가 만든 앱에 log4j라는 오픈소스가 들어 있다면, 이 오픈소스의 특정 버전에 취약점이 있는지 자동으로 찾아 알려주는 것이다.

센트리스(CENTRIS)와 버디(VUDDY)라는 자체 특허 알고리즘을 기반으로 한 3단계(3-레이어) 정밀 분석 기술이 경쟁사 대비 오탐(없는 취약점을 있다고 잘못 경보)을 낮추고 정확한 탐지를 구현한다. GS인증 1등급을 획득했으며, 금융감독원이 발간한 '금융분야 오픈소스 활용·관리 안내서'의 점검 기준에도 부합해 국내 금융권에서 경쟁력 있는 솔루션으로 평가받고 있다.

수익원 2: 래브라도 SCM — 기업 간 소프트웨어 성분표 교환 플랫폼

대기업이 협력사로부터 소프트웨어를 납품받을 때, "이 소프트웨어 안에 어떤 오픈소스가 들었는가"를 확인하는 것이 SBOM 교환이다. 래브라도 SCM은 공급망에 관여하는 모든 기업의 SBOM 생성·전송·수신·상호 검증·수정 등 전 과정을 자동화한다. 중소 협력사는 SBOM을 만들 인력이 없는 경우가 많은데, 이 플랫폼이 그 과정을 자동화해준다.

수익원 3: 래브라도 서버케어 — 이미 운영 중인 서버의 취약점 실시간 감시

개발 단계가 아니라 이미 운영 중인 서버에 설치된 소프트웨어들이 어떤 오픈소스에 의존하고 있는지 분석하고, 새로운 보안 취약점이 전 세계에서 발견될 때마다 우리 서버가 위험한지 즉시 알려준다. "어젯밤에 새로운 log4j 취약점이 발견됐는데, 우리 서버 중 몇 개가 영향을 받는가"를 실시간으로 파악할 수 있다.

수익원 4: 래브라도 LLM — 공급망 보안에 특화된 자체 AI 모델

보안 규제·라이선스·취약점 분석에 특화된 AI 모델을 자체 개발했다. 범용 AI(ChatGPT 등)를 가져다 쓰는 것이 아니라, 수십 년치 보안 데이터와 오픈소스 라이선스 정보로 훈련시킨 전용 모델이다. 덕분에 오픈소스 라이선스 탐지 정확도가 기존 대비 10% 이상 향상됐다. 최근에는 허깅페이스 같은 오픈소스 AI 모델 저장소에 악성 코드가 심긴 AI 모델이 1,700건 이상 발견됐는데, 이런 'AI 공급망 보안' 위협에도 대응하는 기능을 추가했다.

사업 모델 분류

제품	방식	대상
SCA 솔루션	B2B SW 라이선스 구독·납품	대기업·금융·제조·공공
래브라도 SCM	B2B 플랫폼	공급망 대기업·협력사
래브라도 서버케어	B2B SaaS형	IT 운영 기업
래브라도 LLM	자체 모델 탑재·서비스	플랫폼 내 AI 고도화

---

운영 현황 & 주요 성과

핵심 지표

지표	수치	내용
2024년 매출	약 16.7억원	전년 대비 성장
2019년 첫해 매출	약 5억원	창업 2년차 조기 안정화
라이선스 탐지 향상	10% 이상	래브라도 LLM 적용 후

주요 고객사 레퍼런스

분야	고객사
해외 글로벌 기업	인튜이티브 서지컬 (Intuitive Surgical) — 다빈치 수술 로봇 제조사, 국내 최초 글로벌 SBOM 수출
국방·공공	국방부, 국가보안기술연구소
통신	KT
금융	국내 주요 은행·보험사
대기업	국내 대기업 다수

인증 및 수상

• GS인증 1등급 (래브라도 OSS v2.0)
• 스케일업 TIPS 선정
• 고려대 기술지주 TIPS 제1호 투자 기업
• 2025년 공급망 보안 워크샵 주요 발표 기업 (한국정보보호학회)

글로벌 진출 현황

인튜이티브 서지컬 납품 이후 북미 시장 확장을 본격화하고 있다. 최근 조학수 부사장을 영입했다. 조 부사장은 서울대 전산과학 학·석사, 고려대 박사 출신으로 윈스(코스닥 상장사) 부사장·CTO를 역임했으며, 일본 NTT 도코모에 보안 솔루션 수출로 정보보안 산업 최초 '천만불 수출의 탑'을 달성한 글로벌 세일즈 전문가다.

---

성공 포인트 & 벤치마킹 인사이트

1. 교수 창업 스핀오프 + 특허 원천기술 — 학술 성과가 사업 기반이 된다

중요도: 상

고려대 CSSA에서 나온 원천 알고리즘이 핵심 경쟁력

래브라도랩스는 2018년 고려대 SW 보안연구소(CSSA)에서 개발한 취약점 분석 특허 기술을 기반으로 스핀오프됐다. CSSA는 고려대 컴퓨터학과 4개 연구실을 중심으로 카네기멜론·스위스 ETH·영국 옥스퍼드 대학 연구팀이 함께 2015년 설립한 국제 공동 연구센터다. 이 글로벌 수준의 연구 네트워크에서 나온 센트리스(CENTRIS)와 버디(VUDDY) 알고리즘이 한국과 미국에서 모두 특허를 획득했다.

두 알고리즘은 "코드가 복사됐는지, 변형됐는지"를 정밀하게 탐지하는 기술이다. 경쟁사들은 단순히 파일을 비교하는 방식(해시 비교)을 쓰는 경우가 많아 코드가 조금만 수정되면 탐지에 실패한다. 센트리스·버디는 코드의 구조와 특징을 3단계로 정밀 분석해 변형된 취약점 코드도 잡아낸다. 이것이 오탐을 줄이고 탐지 정확도를 높이는 구조적 차별화다.

이희조 고려대 교수가 공동 대표로 참여하면서 CSSA와의 기술 이전·상호 정보 교류가 지속되는 구조다. 학계의 최신 연구 성과가 지속적으로 제품에 반영된다.

💡 교훈: 대학 연구소에서 수년간 축적된 특허 알고리즘은 스타트업이 단기간에 복제하기 어려운 기술 자산이다. 보안·AI처럼 알고리즘의 정확도가 제품 신뢰의 핵심인 분야에서는 학술 기반 원천기술 스핀오프가 가장 강력한 차별화 기반이 된다.

---

2. 규제 의무화의 파도 — "의무"가 시장을 만드는 구조

중요도: 상

SBOM이 의무가 된 세계

래브라도랩스가 오랫동안 개발해온 SBOM·SCA 기술이 왜 지금 주목받는가. 가장 큰 이유는 규제다. 2021년 미국 바이든 행정명령 EO 14028은 연방 정부가 구매하는 모든 소프트웨어에 SBOM 제출을 요구한다. 이것은 미국 연방 조달 시장만의 이야기가 아니다. 미국 정부에 납품하는 기업의 협력사도 대응해야 하며, 이 규제가 민간 시장 전반으로 확산된다.

유럽 사이버복원력법(CRA)도 EU 시장에 소프트웨어 제품을 판매하는 모든 기업에 SBOM을 요구한다. 국내에서도 국가정보원 보안적합성 검증 기준이 강화되면서 SCA·SBOM이 필수 항목이 됐다. 규제가 시장을 강제로 만드는 구조다.

log4j 사태가 준 가속도

2021년 log4j 취약점은 전 세계 기업이 자신의 소프트웨어에 어떤 오픈소스가 들어 있는지조차 모른다는 것을 드러냈다. 래브라도랩스는 이 사태 당시 log4j 취약점 점검 서비스를 무료로 배포해 인지도를 급속히 높였다. 위기를 기회로 활용한 마케팅 전략이었다.

💡 교훈: 규제 의무화가 예고된 기술 분야는 최고의 창업 기회다. "해야 하는 것"이 된 기술은 시장이 저절로 만들어진다. 창업자는 3~5년 후 의무화가 예고된 규제 영역을 먼저 파악하고 진입해야 한다. 특히 보안·환경·의료 분야에서 이 패턴이 반복된다.

---

3. 인튜이티브 서지컬 레퍼런스 — "글로벌 1위에게 팔았다"는 사실

중요도: 상

18개월 협상 끝에 얻은 글로벌 레퍼런스의 파급력

인튜이티브 서지컬(Intuitive Surgical)은 '다빈치 수술 시스템'을 만드는 회사다. 복강경 수술을 로봇이 보조하는 이 시스템은 전 세계 수술용 로봇 시장 1위 제품이다. 이런 의료 로봇에 들어가는 소프트웨어는 보안 기준이 가장 엄격한 편에 속한다. FDA(미국 식품의약국) 인증을 받아야 하며, 소프트웨어 결함이 환자 안전에 직결되기 때문이다.

2021년 연말부터 시작해 18개월이 넘는 협상 과정 끝에 래브라도 솔루션이 인튜이티브 서지컬의 개발 단계에 적용됐다. 이것이 국내 최초 글로벌 SBOM 솔루션 수출이다.

이 레퍼런스가 갖는 의미는 세 가지다. 첫째, FDA 의료기기 규제를 받는 기업의 SW 보안 심사를 통과했다는 의미다. 의료기기 SW 보안 기준은 금융·통신보다 엄격하다. 둘째, 글로벌 1위 제조사의 검증이 이후 북미 시장에서 다른 제조사들을 설득하는 가장 강력한 근거가 된다. 셋째, 미국 FDA가 의료기기에 SBOM을 의무화하는 추세에서 인튜이티브 서지컬 납품 이력은 의료기기 제조사 시장 공략의 결정적 레퍼런스가 된다.

국내 레퍼런스의 깊이 — 국방·금융·공공

국방부, 국가보안기술연구소는 보안 수준이 가장 높은 기관이다. 이곳에 납품한 이력은 "가장 까다로운 고객이 인정한 기술"이라는 신호가 된다. 국내 주요 금융기관 고객사와 KT 레퍼런스는 금융보안 분야에서의 신뢰를 보여준다.

💡 교훈: B2B 보안 솔루션에서 레퍼런스는 기술력보다 강력한 영업 도구다. 특히 글로벌 1위 기업, 국방·공공 기관의 레퍼런스는 모든 보안 담당자에게 "우리도 써도 된다"는 안전 신호를 준다. 초기에는 마진이 낮아도 이 레퍼런스를 위해 투자하라.

---

4. 공급망 보안 토털 플랫폼 — 단일 솔루션이 아닌 생태계 전략

중요도: 중

개발→운영→AI 모델까지 전 단계를 커버하는 플랫폼

래브라도랩스의 제품군은 소프트웨어의 탄생부터 운영까지 전 단계를 커버한다. 개발할 때 SCA로 취약점을 탐지하고, 납품·수령 단계에서 SCM으로 기업 간 성분표를 교환하며, 이미 운영 중일 때 서버케어로 실시간 취약점을 감시한다. AI 모델이 오픈소스 형태로 배포되면서 생기는 'AI 공급망 보안' 위협까지 탐지 기능을 확장했다.

이 구조는 단일 제품이 아닌 고객의 보안 운영 전체에 깊이 통합되는 플랫폼이다. 고객이 래브라도 제품을 여러 개 쓸수록 다른 솔루션으로 갈아타기가 어려워지고 이탈률이 낮아진다. 보안 데이터도 축적돼 탐지 정확도가 높아지는 효과도 있다.

💡 교훈: 보안·SaaS 분야에서 고객 이탈을 막는 가장 강력한 방법은 제품 간 통합을 심화시키는 것이다. 단일 솔루션이 아닌 "보안 운영의 기록 시스템(System of Record)"이 되는 플랫폼을 설계하면 ARR과 NRR이 동시에 높아진다.

---

5. 신한·포스코 전략적 투자자 유치 — 금융·제조 공급망 레퍼런스 확장

중요도: 중

신한벤처투자와 포스코기술투자는 이번 라운드에서 전략적 투자 관점으로 참여했다. 두 기업 모두 배후에 대형 그룹사를 갖고 있다. 신한금융그룹은 국내 최대 금융 그룹 중 하나이고, 포스코는 국내 최대 철강·소재 그룹이다.

금융 그룹의 전략적 투자는 신한금융 계열사들이 래브라도 SCA를 도입하거나 계열사 공급망 전체에 적용하는 경로가 열릴 수 있음을 의미한다. 포스코기술투자는 포스코·포스코인터내셔널 같은 제조·물류 계열사의 SW 공급망 보안 수요와 연결될 수 있다. 두 전략적 투자자의 참여가 국내 금융과 제조 공급망 레퍼런스를 동시에 확장하는 기반이 된다.

💡 교훈: 보안 솔루션 기업에서 대기업 그룹사의 전략적 투자는 자금 이상의 의미가 있다. 그룹사 계열사 전체를 잠재 고객으로 확보하고, 그룹의 브랜드 신뢰를 레퍼런스로 활용할 수 있다. 특히 금융·통신·제조처럼 보안 규제가 강한 산업의 그룹사 투자를 전략적으로 유치하라.

---