AI 생성 코드를 프로덕션 환경에 배포하기 전에 수행해야 할 보안 체크리스트와 대응 구현 예시

GitHub Copilot이나 ChatGPT 같은 생성형 AI 도구는 개발 효율성을 향상시키는 동시에, 취약점을 포함하는 코드를 출력할 수 있습니다. AI가 제안한 코드를 그대로 프로덕션 환경에 투입하면 SQL 인젝션, 크로스 사이트 스크립팅(XSS), 부적절한 권한 통제 등의 보안 위험을 내재화할 가능성이 있습니다. 개발자에게는 AI 생성 코드의 편리성을 활용하면서도, 보안 품질을 보장하기 위한 구체적인 검증 프로세스가 요구됩니다.

• AI 생성 코드에 숨어있는 대표적인 보안 위험

• 프로덕션 배포 전 개발자가 셀프 체크할 수 있는 '보안 체크리스트'

• 취약점을 포함한 '나쁜 코드 예시'와 이를 수정한 '좋은 코드 예시'

• 정적 분석 도구(SAST)를 사용한 자동 감지 설정 예시

• 실무에서 AI 어시스턴트를 이용해 코드를 작성하는 개발자

• AI 생성 코드를 포함한 풀 리퀘스트를 리뷰하는 리뷰어

• 웹 애플리케이션 개발의 기본적인 보안 지식(OWASP Top 10 등)을 갖추고 있는 사람

AI는 과거 학습 데이터에 기반하여 코드를 생성하기 때문에, 다음과 같은 문제가 발생하기 쉽습니다.

• 오래된 라이브러리나 비권장 API 사용: 취약점이 존재하는 오래된 버전의 패키지나, 더 이상 권장되지 않는 함수를 제안할 수 있습니다. - 컨텍스트 누락: 프로젝트 고유의 인증/인가 로직이나 프레임워크 고유의 안전한 작성 규칙을 무시한 코드를 출력할 수 있습니다. - 입력값 검증 부족: 정상적인 동작에만 초점을 맞추고, 예외 처리나 유효성 검사를 생략한 코드를 생성할 수 있습니다.

AI가 생성한 코드를 리뷰할 때 최소한 확인해야 할 항목을 아래 체크리스트로 정리했습니다.

아래는 AI가 생성하기 쉬운 취약점이 있는 코드(Python / Flask)와 이를 수정한 안전한 코드의 비교입니다.

AI는 단순한 문자열 결합을 통한 쿼리 구성을 제안할 수 있습니다. 또한, 디버깅이 용이하도록 예외 정보를 그대로 응답에 포함시키는 경우가 있습니다.

# 자체 구현의 취약한 엔드포인트 예시
@app.route('/user/profile', methods=['GET'])
def get_user_profile():
...

플레이스홀더를 사용하여 SQL 인젝션을 방지하고, 에러 메시지는 추상화합니다.

# 대책이 적용된 안전한 엔드포인트 예시
@app.route('/user/profile', methods=['GET'])
def get_user_profile():
...

사람의 눈으로 검토하는 것 외에도, CI/CD 파이프라인에 정적 분석 도구를 통합함으로써 AI 생성 코드의 취약점을 자동으로 감지할 수 있습니다. 여기서는 Python 프로젝트에서 널리 사용되는 bandit
설정 예시를 소개합니다.

pip install bandit

프로젝트의 루트 디렉터리에 pyproject.toml

를 배치하고, 스캔 대상이나 제외 대상을 설정합니다.

[tool.bandit]
exclude_dirs = ["tests", "venv", ".venv"]
tests = ["B101", "B608"] # B608은 SQL 인젝션 탐지

로컬 개발 환경이나 GitHub Actions 등의 CI에서 다음 명령어를 실행합니다.

bandit -r ./src -c pyproject.toml

이를 통해, AI가 생성한 코드에 SQL 인젝션(B608)이나 assert 문 사용의 부적절성(B101) 등이 포함되어 있을 경우, 배포 전에 탐지하여 프로세스를 중단시킬 수 있습니다.

AI 출력을 '제3자 검증되지 않은 코드'로 취급하기

AI가 생성한 코드는 인터넷상의 오픈소스에서 복사해 온 코드와 동등하거나 그 이상의 신뢰성이 아직 확정되지 않은 것입니다. 자체적으로 작성한 코드와 동일한 엄격한 기준으로 코드 리뷰를 실시해야 합니다. -
라이선스 확인

보안성뿐만 아니라, 생성된 코드가 특정 오픈소스 라이선스(GPL 등)에 위반되는지 여부와 사내 정책에 비추어 확인해야 합니다. 필요한 경우, AI 도구의 라이선스 필터 기능을 활성화하십시오. -
최신 공식 문서 참조

AI는 오래된 API 사양을 출력할 수 있습니다. 특히 인증/인가나 암호화 관련 라이브러리를 사용하는 경우에는 반드시 해당 라이브러리의 최신 공식 문서를 참조하여, 권장되는 구현 패턴과 일치하는지 확인해야 합니다.

AI 생성 코드는 개발 속도를 극적으로 향상시키는 강력한 도구이지만, 보안 확보는 여전히 인간 개발자의 책임입니다. 본 기사에서 소개된 체크리스트나 정적 분석 도구를 활용하고, 자동화된 검증과 사람의 눈으로 하는 리뷰를 결합함으로써 안전한 애플리케이션 개발을 유지해야 합니다.