AI 코딩 납품 전 보안 점검 체크리스트: 바이브 코딩 결과물을 안전하게 넘기는 6단계

AI 코딩 도구 덕분에 며칠 걸리던 웹사이트와 앱 제작이 반나절로 줄었습니다. 문제는 속도가 빨라진 만큼 보안 점검이 빠진 채 납품되는 경우가 늘었다는 점입니다. 프리랜서에게 납품물의 보안 사고는 곧 신뢰와 재계약의 문제입니다. 이 글에서는 AI로 만든 코드를 클라이언트에게 넘기기 전에 반드시 거쳐야 할 6단계 점검 절차를 정리합니다.

1. 키·비밀번호가 코드에 남아 있는지 확인하기

AI가 생성한 예제 코드에는 API 키, DB 비밀번호가 문자열로 박혀 있는 경우가 흔합니다. 납품 전에 저장소 전체를 검색해 키 패턴을 찾고, 모든 비밀 값은 환경변수나 별도 설정 파일로 분리하세요. 이미 깃 히스토리에 올라간 키는 삭제만으로 부족하니 반드시 폐기하고 새로 발급해야 합니다.

2. 사용자 입력은 모두 의심하고 검증하기

로그인 폼, 검색창, 파일 업로드처럼 외부 입력이 들어오는 모든 지점은 SQL 인젝션과 XSS의 통로가 될 수 있습니다. AI 코드가 쿼리를 문자열로 이어 붙이고 있지 않은지, 출력 시 이스케이프가 적용되는지 확인하세요. 서버 측 검증이 없고 화면에서만 막아 둔 경우도 자주 발견됩니다.

3. 인증·권한 로직을 직접 시험하기

로그인이 된다고 끝이 아닙니다. 일반 회원 계정으로 관리자 주소에 접근해 보고, 다른 사용자의 글이나 주문 번호를 주소에서 바꿔 열리는지 확인하세요. 이런 권한 우회는 AI가 가장 자주 놓치는 영역이며 실제 사고로 이어지는 빈도도 높습니다.

4. 의존성 패키지의 취약점 스캔하기

AI는 오래된 버전이나 존재하지 않는 패키지 이름을 추천하기도 합니다. npm audit, composer audit 같은 명령으로 알려진 취약점을 점검하고, 처음 보는 패키지는 배포자와 다운로드 수를 확인한 뒤 사용하세요. 쓰지 않는 패키지는 과감히 제거하는 편이 안전합니다.

5. 배포 환경 설정과 에러 노출 점검하기

디버그 모드가 켜진 채 배포되면 오류 화면에 경로와 설정 정보가 그대로 드러납니다. HTTPS 강제, 보안 헤더, 파일 권한, 관리자 페이지 접근 제한, 백업 설정까지 배포 체크리스트로 만들어 매번 같은 순서로 확인하세요.

6. 점검 결과를 납품 문서로 남기기

무엇을 점검했고 무엇이 남은 위험인지 한 장으로 정리해 전달하세요. AI를 활용했다는 사실과 검증 범위를 투명하게 밝히면 분쟁을 줄이고, 유지보수 계약으로 이어질 가능성도 높아집니다. 점검 기록은 사고 발생 시 책임 범위를 증명하는 근거이기도 합니다.