AI가 생성한 SQL을 실용화할 때 주의점: 안티 패턴 예시와 보안/성능 체크리스트

ChatGPT나 GitHub Copilot 같은 생성형 AI를 활용하여 SQL 문을 자동 생성하는 기회가 늘고 있습니다. AI는 복잡한 쿼리를 수 초 만에 작성할 수 있어 개발 효율성을 높이지만, 출력된 SQL을 그대로 운영 환경에서 실행하면 성능 저하 및 보안상 심각한 취약점이 발생할 위험이 있습니다.

본 글에서는 AI가 생성한 SQL에 숨어 있는 대표적인 '성능/보안상의 함정'을 구체적인 예시와 함께 해설하고, 실무에서 안전하게 운영하기 위한 확인 체크리스트와 프롬프트 템플릿을 제공합니다.

• AI 도구를 이용해 SQL을 작성 및 리뷰하는 엔지니어
• 관계형 데이터베이스(RDBMS)의 실무 경험이 있는 분
• 특정 RDBMS(PostgreSQL, MySQL 등)에 의존하지 않는 일반 원칙을 중심으로 해설합니다 (실행 시에는 사용하는 RDBMS의 최신 사양을 확인해 주세요).

AI에게 프로그램 코드 내에서 SQL 작성을 지시하면, 플레이스홀더(바인드 변수)를 사용하지 않고 문자열 결합(f-string이나 동적 생성)을 한 코드를 출력할 수 있습니다.

# 자체 구현 예시: 사용자 입력을 직접 포함하고 있음 (SQL 인젝션 위험)
user_input = get_user_input()
query = f"SELECT id, username, email FROM users WHERE status = 'active' AND username = '{user_input}'"
...

# 플레이스홀더를 이용해 파라미터라이즈드 쿼리를 실행함
user_input = get_user_input()
query = "SELECT id, username, email FROM users WHERE status = %s AND username = %s"
...

대책: AI에게 코드 문맥에서의 SQL 생성을 요청할 때는 반드시 '바인드 변수(플레이스홀더) 형식으로 출력할 것'을 프롬프트로 명확하게 지정해야 합니다.

AI는 데이터 모델이나 기존 인덱스의 정보를 알지 못하기 때문에, 검색 조건의 컬럼에 함수를 적용하거나 암묵적인 타입 변환을 일으키는 SQL을 생성하는 경향이 있습니다.

-- createdAt 컬럼에 인덱스가 있어도 풀 테이블 스캔(full table scan)이 발생할 가능성이 있음
SELECT order_id, total_amount
FROM orders
...

-- 컬럼에 함수를 적용하지 않고 SARGable (Search Argument Able)한 쿼리로 만듦
SELECT order_id, total_amount
FROM orders
...

AI는 요구 사항을 충족하는 최소한의 로직을 만들기 때문에, 대규모 데이터에서의 확장성(scalability)을 고려하지 않은 쿼리(SELECT * 사용이나, 거대한 테이블에 대한 비효율적인 IN (SELECT ...) 등)를 출력할 수 있습니다.

AI가 작성한 SQL 문을 PR (Pull Request)이나 실무 코드에 통합하기 전에, 다음 항목들을 확인해 주세요.

• 보안: 동적인 문자열 결합을 하지 않고 플레이스홀더 형식인지
• 조회 범위: 불필요한 SELECT *가 없고 필요한 컬럼만 지정되었는지
• 인덱스 활용:WHERE나 JOIN 조건의 컬럼에 불필요한 함수(DATE(), UPPER() 등)가 걸려있지 않은지
• 데이터 타입: 비교 대상 값의 데이터 타입이 컬럼 정의와 일치하는지 (암묵적 타입 변환 방지)
• N+1 문제・서브쿼리: 루프 내에서의 쿼리 실행이나, 불필요한 상관 서브쿼리가 포함되어 있지 않은지
• 실행 계획 확인: 크고 작은 데이터가 들어간 검증 환경에서 EXPLAIN

（실행 계획）을 가져와 풀 스캔(Seq Scan / ALL)의 유무를 확인했는지

AI가 안전하고 효율적인 SQL을 출력하도록 하는 지시 템플릿입니다.

【요청 내용】
아래 요구사항을 충족하는 SQL 쿼리를 작성해 주세요.
【전제 조건・환경】
...

AI는 SQL 문법을 생성하는 강력한 조수이지만, 데이터베이스의 규모, 인덱스 설계, 보안 원칙에 대한 판단은 인간 측에서 수행해야 합니다.

• 보안: 플레이스홀더(placeholder)의 철저한 적용 -
• 성능: 실행 계획(EXPLAIN) 확인 및 SARGable 조건 유지 -
• 운영: 사전 체크리스트를 통한 검증

이러한 사항들을 규칙화하여, AI의 편리성을 활용하면서 안전한 시스템 운영을 목표로 합시다. 실행 전에는 반드시 개발 환경에서 동작과 실행 계획을 확인하는 것을 권장합니다.