AI 생성 코드 납품 전 검수 가이드: 프리랜서 개발자가 보안·품질 사고를 막는 6단계

Cursor, Claude Code, Copilot 같은 AI 코딩 도구 덕분에 혼자서도 며칠 걸릴 기능을 반나절 만에 만들 수 있는 시대가 됐습니다. 문제는 속도가 빨라진 만큼 검수 시간이 줄어들기 쉽다는 점입니다. 실행만 되면 끝이라고 생각하고 납품했다가, 나중에 보안 구멍이나 유지보수 문제로 고객과 분쟁이 생기는 사례도 늘고 있습니다. 이 글에서는 프리랜서 개발자가 AI가 만든 코드를 납품하기 전에 반드시 거쳐야 할 6단계 검수 절차를 정리했습니다.

1. AI 코드는 '초안'이라는 전제부터 세우기

AI가 생성한 코드는 문법적으로 깔끔해 보이지만, 우리 프로젝트의 맥락을 완전히 이해하고 쓴 코드가 아닙니다. 존재하지 않는 함수를 호출하거나, 오래된 라이브러리 방식을 쓰거나, 요구사항 일부를 조용히 빼먹는 일이 흔합니다. 따라서 모든 결과물은 동료가 올린 풀 리퀘스트를 리뷰하듯 직접 읽어야 합니다. 내가 설명할 수 없는 코드는 납품하지 않는다는 원칙 하나만 지켜도 사고의 절반은 줄어듭니다.

2. 비밀 정보와 환경 설정 점검

가장 흔하고 치명적인 실수가 API 키, DB 비밀번호, 토큰이 코드에 그대로 박혀 있는 경우입니다. AI는 예시를 만들면서 실제처럼 보이는 키를 코드에 직접 넣는 경우가 많습니다. 저장소 전체를 검색해 키·비밀번호·토큰 문자열이 없는지 확인하고, 모든 민감 값은 환경변수나 별도 설정 파일로 분리하세요. .gitignore에 .env가 포함됐는지도 함께 봐야 합니다.

3. 입력 검증과 기본 보안 취약점 확인

AI가 만든 코드는 정상 입력만 가정하는 경향이 있습니다. 사용자 입력이 들어가는 모든 지점에서 SQL 인젝션, XSS, 파일 업로드 검증, 권한 체크가 빠지지 않았는지 확인하세요. 로그인 이후 화면이라고 해서 안전한 것은 아니며, 다른 사용자의 데이터를 URL만 바꿔 볼 수 있는지도 직접 시도해 봐야 합니다. OWASP Top 10 항목을 체크리스트로 만들어 두면 매 프로젝트마다 재사용할 수 있습니다.

4. 의존성과 라이선스 검토

AI는 편하다는 이유로 불필요한 패키지를 대거 추가하거나, 상업적 사용이 제한된 라이선스의 라이브러리를 끌어오기도 합니다. npm audit, pip-audit, composer audit 등으로 알려진 취약점을 확인하고, 실제로 쓰지 않는 패키지는 제거하세요. 고객사 납품물이라면 사용한 오픈소스 목록과 라이선스를 문서로 남겨 두는 것이 안전합니다.

5. 테스트와 엣지 케이스 실행

화면에서 한두 번 눌러 보는 것만으로는 부족합니다. 빈 값, 아주 긴 문자열, 동시에 여러 번 클릭, 네트워크 실패 같은 예외 상황에서 어떻게 동작하는지 확인하세요. 핵심 로직에는 자동화 테스트를 작성하는 편이 좋고, 이때 테스트 코드 초안을 AI에게 맡기되 기대값은 반드시 사람이 검증해야 합니다. 테스트가 통과한다는 사실과 요구사항을 충족한다는 사실은 별개입니다.

6. 납품 문서와 AI 사용 고지 정리

마지막 단계는 코드가 아니라 문서입니다. 실행 방법, 환경변수 목록, 배포 절차, 알려진 제한사항을 README로 정리해 인수인계 분쟁을 예방하세요. 또한 계약서에 AI 도구 사용 범위를 고지했다면 실제 작업 방식과 일치하는지 확인하고, 고객 소스코드나 개인정보를 외부 AI 도구에 입력하지 않았는지도 되짚어야 합니다. 이런 투명성이 재계약으로 이어지는 신뢰를 만듭니다.

정리하면 AI는 개발 속도를 높여 주지만 책임까지 대신 져 주지는 않습니다. 납품 직전 30분의 검수 루틴이 수십 시간의 사후 수정과 신뢰 손실을 막아 줍니다. 위 6단계를 자신만의 체크리스트로 만들어 모든 프로젝트에 적용해 보세요.