우리 모두는 더 빠르게 코드를 작성하기 위해 Copilot, Cursor 또는 ChatGPT를 사용하고 있습니다. 이들은 시간을 절약해주고, 상용구 코드 (boilerplate)를 처리하며, 복잡한 로직을 생각하는 데 도움을 줍니다. 하지만 업계에서 충분히 이야기하지 않는 거대한 사각지대가 있습니다. 바로 AI 코딩 어시스턴트가 매우 확신에 찬 태도로 똑같은 종류의 보안 버그를 반복해서 생성한다는 점입니다.

ESLint와 같은 전통적인 린터 (linter)는 훌륭하지만, 이는 사람이 작성한 코드를 위해 설계되었습니다. 이들은 사용되지 않는 변수나 누락된 세미콜론을 잡아냅니다. 하지만 LLM (Large Language Models)이 자연스럽게 기본값으로 생성하는, 미묘하고 그럴듯해 보이는 보안 취약점을 잡아내도록 만들어지지는 않았습니다.

그것이 제가 hallint를 만든 이유입니다. 이는 AI 코드 생성의 실패 모드 (failure modes)를 프로덕션 환경에 도달하기 전에 잡아내도록 특별히 조정된 무료 오픈 소스 정적 분석 (static analysis) 도구입니다.

AI가 만드는 문제 (ESLint가 놓치는 부분)

AI 어시스턴트는 인간과는 다른 방식으로 실패합니다. LLM에 Express 라우트나 데이터베이스 쿼리를 생성하도록 요청하면, 저항이 가장 적은 경로를 택하는 경향이 있습니다. 대충 훑어보는 리뷰는 통과하고, 로컬 개발 환경에서는 완벽하게 작동하지만, 배포되는 순간 파괴적인 취약점을 만들어내는 코드를 작성합니다.

다음은 몇 가지 전형적인 AI 실패 패턴입니다:

1. 하드코딩된 비밀 정보 (Hardcoded Secrets): AI는 기꺼이 const API_KEY = "sk-abc123..."와 같은 코드를 내뱉습니다. 이는 린팅 (linting)은 통과할지 모르지만, 이를 공개 저장소 (public repo)에 푸시하는 것은 재앙입니다.

2. 기본적인 SQL 인젝션 (SQL Injection by Default): AI는 템플릿 리터럴 (template literals)을 매우 좋아합니다. db.query("SELECT * FROM users WHERE id = ${req.params.id}")는 언뜻 보기에는 완전히 괜찮아 보이지만, 이는 교과서적인 SQL 인젝션 (SQL injection) 벡터입니다.

3. 인증 누락 (Missing Authentication): CRUD 라우트를 생성하는 것은 쉽습니다. 하지만 그 모든 라우트에 인증 미들웨어 (auth middleware)를 적용하는 것을 기억하는 것? AI는 끊임없이 이를 잊어버립니다.

4. 인증 마스킹 (Auth Masking): 이는 특히나 교활한 AI의 습관입니다. 인증 미들웨어에 에러 핸들링 (error handling)을 추가해 달라고 요청하면, LLM은 토큰 에러를 캐치(catch)하면서도 여전히 next()를 호출하여, 인증되지 않은 요청을 조용히 통과시키는 try/catch 블록을 생성하곤 합니다.

5. 허용적인 CORS (Permissive CORS): cors({ origin: '*' })를 설정하는 것은 CORS 에러를 "해결"하기 위해 AI가 가장 즐겨 사용하는 한 줄짜리 코드입니다.

hallint란 무엇인가?

hallint는 JavaScript, TypeScript, 그리고 Python 코드베이스를 스캔하여 이러한 특정 AI 생성 보안 및 품질 문제를 찾아내는 TypeScript 라이브러리이자 CLI 도구입니다.

범용 린터 (linter)가 되려고 노력하는 대신, hallint는 세 가지 탐지 계층을 사용하여 AI 특유의 코드 스멜 (code smells)을 타겟팅합니다:

• 정규 표현식 패턴 매칭 (Regex pattern matching): 알려진 잘못된 패턴을 찾아내기 위한 매우 빠른 1차 패스 (pass) 단계입니다.
• AST 분석 (AST analysis): 단순한 텍스트가 아닌 코드의 로직을 이해하는 구조적 검사입니다.
• LLM 리뷰 (선택 사항) (LLM review (Optional)): Anthropic, OpenAI 또는 로컬 Ollama 인스턴스와 같은 제공업체를 사용하여 로직 흐름에 대해 더 깊은 의미론적 분석 (semantic analysis)을 수행합니다.

규칙 엔진 (The Rules Engine)

hallint는 현재 11개의 타겟 규칙을 제공합니다:

hallint 사용법

hallint를 빠른 CLI 스캐너로 사용하거나 Node.js 툴링에 깊이 통합하여 사용할 수 있습니다.

CLI를 통한 실행

테스트를 위해 설치할 필요조차 없습니다. npx를 사용하여 소스 디렉토리를 지정하기만 하면 됩니다:

npx @asyncinnovator/hallint-cli ./src

출력 예시:

hallint scanning ./src...

src/routes/users.ts
...

라이브러리로 사용하기

자체적인 테스트 파이프라인 (testing pipelines), 프리 커밋 훅 (pre-commit hooks), 또는 에디터 플러그인 (editor plugins)을 구축하고 있다면, 코어 라이브러리 (core library)를 직접 임포트 (import)할 수 있습니다:

npm install @asyncinnovator/hallint

import { scan, scanSource } from '@asyncinnovator/hallint'

// 파일 시스템 스캔
...

더 자세히 알아보기: GitHub에서 전체 문서 읽기

CLI를 CI/CD 파이프라인 (CI/CD pipelines, 예: GitHub Actions)에 엄격한 머지 게이트 (merge gate)로 직접 통합하거나, ESLint 스타일의 인라인 규칙 억제 (inline rule suppressions)를 구성하고, 노이즈를 줄이기 위한 공개 라우트 허용 목록 (public route allowlists)을 설정하거나, 선택 사항인 LLM 기반의 평이한 영어 설명 (plain-English explanations) 기능을 활성화하고 싶다면, 공식 문서에서 필요한 모든 것을 찾을 수 있습니다.

이 블로그 포스트는 핵심 문제에 집중하고자 하므로, 고급 설정 (advanced configurations), 아키텍처 세부 사항 (architecture details), 그리고 30줄 미만의 코드로 자신만의 커스텀 규칙 (custom rules)을 작성하는 방법에 대한 가이드는 저희 리포지토리 (repository)를 방문해 주세요.

👉 GitHub에서 전체 문서 읽기

시작하기

AI는 우리가 코드를 작성하는 방식을 바꾸고 있지만, 우리는 우리가 저지르는 새로운 실수들에 적응하는 도구가 필요합니다. hallint는 MIT 라이선스 (MIT licensed)이며, 커뮤니티 주도적 (community-driven)이고, 확장성이 매우 높습니다. 만약 저희가 아직 잡아내지 못한 AI 특화 취약점 패턴 (AI-specific vulnerability pattern)을 발견하셨다면, 풀 리퀘스트 (pull requests)는 언제나 환영입니다!

• ⭐ GitHub 리포지토리 (GitHub Repository): github.com/Asyncinnovator/hallint
• 📦 코어 라이브러리 (Core Library, npm): @asyncinnovator/hallint
• 📦 CLI (npm): @asyncinnovator/hallint-cli