[10분 테코톡] 투핸더의 바이브 코딩, 보안 괜찮을까?

AI는 주어진 기능을 빠르게 완성하는 방향으로 최적화되므로 권한 검증, 에러 처리, 예외 상황 같은 방어 로직을 목표 달성의 장애물처럼 생략할 수 있다. 사용자가 보안 요구를 명시하지 않으면 ‘동작하는 코드’와 ‘안전하게 운영할 코드’ 사이의 간극이 커진다.

예시 코드는 로그인 사용자만 호출하도록 하는 접근 제어가 없고, 주문 ID의 소유자를 확인하지 않아 다른 사람의 주문을 바꾸는 IDOR에 노출된다. 존재하지 않는 주문의 예외와 스택 트레이스 노출, 주소 입력의 저장형 XSS, 배송 시작 후 변경을 막는 비즈니스 검증까지 빠져 있음을 차례로 점검한다.

첫째는 입력 검증·최소 권한·민감 정보 비노출 같은 기준을 시스템 프롬프트에 미리 넣고, 둘째는 사용하는 언어와 생태계에 맞는 보안 지침을 생성하는 방식이다. 셋째는 일단 생성한 코드를 보안 전문가 관점의 체크리스트로 다시 읽고 수정하게 하는 자기 리뷰 전략이다.

소개된 실험에서는 보안 중심 시스템 지시, 언어별 맞춤 지시, 생성 후 자기 리뷰가 각각 취약 코드 비율을 유의미하게 개선했고 자기 리뷰의 효과가 가장 컸다. 그럼에도 hallucination과 검증 누락은 남기 때문에 프롬프트를 안전성 보조 수단으로 쓰되 생성 결과를 의심하고 사람이 검토해야 한다.