바이브코딩이 만드는 보안 구멍 5가지 — 그리고 30초 자가 점검
AI로 빠르게 만든 앱에서 반복되는 5가지 보안 실수. RLS 미설정·브라우저 시크릿 노출·.env 유출·인증 우회·개인정보처리방침까지, 실제 사고와 점검법을 정리했습니다.
AI는 코드를 무섭게 빨리 만들어 줍니다. 하지만 보안까지 챙겨 주지는 않아요. Veracode의 2026년 조사에 따르면 AI가 생성한 코드의 보안 통과율은 2년째 55% 언저리에서 멈춰 있습니다. 모델이 똑똑해져도, 취약점은 그대로 따라 나온다는 뜻이죠.
문제는 바이브코더 대부분이 “돌아가면 완성”이라고 생각한다는 점입니다. 돌아가는 것과 안전한 것은 완전히 다릅니다. 아래는 AI로 만든 앱에서 반복해서 발견되는 5가지 구멍입니다.
Supabase·Firebase를 RLS 없이 쓰면 로그인 없이 회원 테이블이 통째로 조회됩니다. AI 앱 최대 사고 유형이에요. 왜 새는지 자세히 →
빠른 점검 — 대시보드에서 모든 테이블에 RLS가 켜져 있는지, 그리고 정책이 using(true)처럼 느슨하지 않은지 확인.
Stripe 시크릿, OpenAI, AWS 키를 프론트엔드에 그대로 넣는 실수. 번들 파일에 남아 누구나 볼 수 있고, 유출 즉시 요금 폭탄·데이터 탈취로 이어집니다.
빠른 점검 — sk_live, AKIA 같은 문자열이 브라우저 번들에 있는지 검색. 시크릿은 반드시 서버(백엔드)에서만.
배포 설정이 잘못돼 /.env나 /.git이 웹에서 열리는 경우. 환경변수와 소스 히스토리가 통째로 털립니다.
빠른 점검 — 브라우저에서 내앱주소.com/.env를 열어봤을 때 내용이 보이면 즉시 조치.
권한 체크를 클라이언트에만 두거나, Next.js 미들웨어 우회(CVE-2025-29927)처럼 알려진 결함을 방치하는 경우. 헤더 하나로 관리자 영역이 열릴 수 있습니다.
빠른 점검 — /admin이 로그인 없이 열리는지, 권한 검증이 서버에서 이뤄지는지 확인.
이메일 하나만 받아도 개인정보보호법 대상입니다. 처리방침 미공개는 그 자체로 과태료 1천만원 이하 대상이에요.
빠른 점검 — 처리방침 페이지가 있는지, 있다면 필수 항목(보호책임자 연락처 등)이 빠지지 않았는지 확인.
다섯 개, 한 번에 확인하기
하나하나 직접 점검하기 번거롭다면, 코드보안 무료 진단이 위 다섯 가지를 주소만으로 한국어로 점검해 드립니다. 특히 RLS가 실제로 뚫리는지는 소유권 인증 후 정밀 진단에서 직접 검증합니다.