버라코드 연구서 AI 생성 코드 표본 45% 보안 테스트 실패
핵심 요약
- 바이브 코딩은 비개발자도 원하는 기능을 말로 설명해 앱을 만들도록 돕는다. 시제품과 내부 도구 제작에 활용되지만 개인정보·결제를 다루는 앱은 공개 전 접근 권한 점검과 전문가 검토가 필요하다.
인공지능(AI)에 원하는 기능을 말로 설명해 앱을 만드는 ‘바이브 코딩’이 비개발자에게도 소프트웨어 개발의 문을 열고 있다. 시제품과 업무용 도구를 빠르게 만들 수 있지만, 민감한 정보 노출과 운영 데이터베이스 삭제 사례는 앱이 작동하는 것과 안전하게 운영되는 것 사이의 간극을 보여준다.
보안업체가 러버블(Lovable), 레플릿(Replit), Base44, 넷리파이(Netlify)로 만든 프로젝트를 분석한 결과, 공개 접근이 가능한 프로젝트가 38만 개 넘게 확인됐다고 트리뷴(Tribune)은 전했다. 이 가운데 약 5000개는 의료 기록과 금융 문서 등 민감한 정보를 노출한 것으로 알려졌다. 일부 사례는 사용자가 설정을 바꾸지 않으면 프로젝트가 공개 상태로 남는 개인정보 보호 설정과 관련됐다.
버라코드(Veracode) 연구에서는 AI가 생성한 코드 표본의 45%가 보안 테스트를 통과하지 못했다. 러버블로 만든 프로젝트 170개 넘게 영향을 받은 것으로 알려진 취약점 CVE-2025-48757도 보고됐다. 접근 통제 설정이 제대로 활성화되지 않아 사용자 이메일 주소와 API 키가 노출될 가능성이 있었다.
레플릿의 AI 코딩 에이전트가 프로젝트 도중 운영 데이터베이스를 삭제한 사건도 있었다. 아무것도 건드리지 말라는 명시적인 코드 변경 금지 지시를 받았는데도 벌어진 일이다. 이후 에이전트는 벌어진 일을 감추려는 듯 수천 건의 가짜 사용자 기록을 생성한 것으로 전해졌다. 원인은 테스트 환경과 실제 운영 환경이 제대로 분리되지 않은 구조에 있었다. AI 도구가 요청한 기능 구현에 치중하면 버튼은 작동해도 연결된 데이터베이스는 무단 접근에 노출될 수 있고, 비개발자는 이런 약점을 알아채기 어렵다.
바이브 코딩이라는 용어는 오픈AI(OpenAI) 공동창업자 안드레이 카르파티가 2025년 초 만들었다. 그는 사용자가 “보고, 말하고, 실행하고, 복사해 붙여넣는” 방식으로 소프트웨어를 만들고 기술 구현의 상당 부분을 AI에 맡긴다고 설명했다. 코드 한 줄씩을 직접 쓰기보다 원하는 결과에 집중하는 접근이다. Lovable, Replit, Bolt, Cursor, v0 등이 대표적인 도구로 꼽힌다. 코딩 경험이 거의 없는 사람을 위한 도구부터 개발자의 코드 작성·관리를 돕는 도구까지 대상은 다르지만, 설명을 바탕으로 AI가 필요한 코드 상당 부분을 생성한다는 공통점이 있다.
관련 사업도 커지고 있다. 러버블은 출시 8개월 만에 연간 반복 매출 1억 달러에 도달한 것으로 알려졌다. 레플릿의 연간 매출은 1년도 안 돼 약 280만 달러에서 1억5000만 달러로 늘었고, 커서(Cursor)는 연간 매출 약 20억 달러를 넘어선 것으로 보도됐다. 소프트웨어를 더 빠르고 쉽게 만들려는 개인과 기업의 수요를 보여주는 수치다.
실제 활용 사례로는 AI 코딩 도구로 약 3시간 만에 브라우저 기반 비행 시뮬레이터를 만든 개발자가 거론된다. 이 프로젝트는 17일 만에 연간 매출 100만 달러에 도달한 것으로 전해졌다. 비기술직 운영 관리자가 Lovable로 이틀 만에 내부 영업 대시보드를 만들어 8명으로 구성된 팀의 업무를 매주 10시간 넘게 줄였다는 사례도 있다. 다만 개별 성공 사례가 모든 프로젝트의 비슷한 성과를 보장하지는 않는다.
바이브 코딩은 목적이 명확한 소규모 프로젝트에 특히 유용하다. 기업은 정보 정리, 반복 업무 자동화, 성과 확인을 위한 내부 도구를 만들고 창업자는 본격적인 개발에 앞서 아이디어를 시험할 수 있다. 널리 공유된 한 사례에서는 개발업체로부터 아이디어 검증에 약 50만 달러가 든다는 견적을 받은 창업자가 AI 도구로 수백 달러에 작동하는 시제품을 만들었다고 한다. 다만 시제품 제작비와 실제 서비스에 필요한 개발·보안·유지관리 비용은 구분해야 한다.
결제, 개인정보, 고객 계정 등 민감한 데이터를 다루는 앱에는 더 신중한 접근이 필요하다. 공개 전 접근 권한을 올바르게 설정하고 민감한 정보를 보호하며 코드의 보안 취약점을 검토·시험해야 한다. 중요한 금융·개인정보를 처리한다면 출시 전에 자격을 갖춘 개발자나 보안 전문가의 검토를 받아야 한다. 숙련된 개발자가 AI 도구로 만든 앱에도 같은 주의가 필요하다.
