AI 앱이 쏟아지는 시대, 기업은 어떻게 통제하고 있을까
최근 메모리 반도체 수요에 대한 논쟁이 뜨겁습니다. 다빈치는 개발 회사이다 보니, 메모리 반도체 수요는 증가할 것이라는 데 한 표를 던지는 입장입니다. 19세기 중반에도 비슷한 일이 있었습니다. 이 당시 증기기관의 효율이 크게 높아졌습니다. 이것이 석탄 소비량의 감소로 이어졌을까요? 아닙니다. 값싼 에너지를 활용할 새로운 용도가 수없이 생겼기 때문입니다.
지금 소프트웨어에서도 같은 일이 벌어지고 있습니다. AI는 앱 개발 비용을 크게 낮췄습니다. 해결하려는 문제와 프롬프트만 있으면 누구나 쓸 만한 도구를 만들 수 있게 되었습니다. 개발 비용이 0에 수렴하면 어떤 일이 벌어질까요? 그동안 매해 전세계에 앱이 1만 개쯤 생겨났다고 해봅시다. 그러면 사람들은 1만 개의 앱을 더 빨리 만들고 남는 시간에 휴식을 취할까요? 아닙니다. 사람들은 100만 개의 앱을 만드는 길을 택할 것입니다.
이제 기업들은 사내 앱의 범람을 경험하고 있습니다. 마케팅팀은 대시보드를 만들고, 재무팀은 점심시간에 보고용 앱을 완성합니다. 운영을 담당하는 각 실무 부서는 IT 부서의 시선 밖에서 여러 가지 IT 제품을 끊임없이 만들어냅니다. Gartner는 이러한 기업용 애플리케이션의 비율이 2025년 5% 미만에서 2026년 40%로 늘어날 것으로 전망했습니다. 한편 McKinsey의 최신 ‘State of AI’ 보고서에 따르면 전체 기업의 78%가 이미 AI를 사용하고 있습니다.
그런데 문제는 이러한 바이브코딩 자체가 아닙니다. 이런 현상은 긍정적입니다. 진짜 심각한 문제는 무엇이 만들어지는지 기업이 제대로 통제하지 못하고 있다는 것입니다. 바이브코딩으로 만들어진 앱 대부분은 회사의 중요 데이터에 접근하는데, 앱마다 별도의 인증 로직이 있거나 아예 비회원에게 개방돼 있을 수도 있습니다. 이렇게 '보이지 않는 앱'을 Shadow App이라고 합니다.
바이브코딩 쓰나미의 세 가지 징후
다빈치가 보아온 기업 현장에서는 바이브코딩의 쓰나미가 주로 세 가지 형태로 나타납니다.
1. 보이지 않는 취약점
바이브코딩으로 만들어진 앱이 인터넷에 공개되면, 외부의 공격자가 그 앱을 통해서 사내 시스템으로 접근할 수 있습니다. 가령 악성 PDF를 게시해 그것을 다운로드 하는 PC를 감염시킬 수도 있고, 브라우저에 평문으로 저장된 권한 정보를 이용해 관리자만 볼 수 있는 메뉴와 데이터를 볼 수도 있습니다. 최악의 경우 관리자 비밀번호 같은 환경 변수가 브라우저에 노출되어 있을 수도 있습니다.
이를 원천 차단하려면 사내에서 개발한 모든 앱을 조직의 클라우드 환경 안에 배포하고, 접근 권한도 빠짐없이 관리해야 합니다. 통합된 관리 기반이 없으면 앱 하나하나가 보안 사각지대로 남습니다.
2. 좀비 앱의 확산
오후 한나절 만에 만든 앱에는 대개 문서나 인수인계 계획이 없습니다. 특히 짧은 바이브코딩 세션에서는 GitHub 같은 협업 도구를 사용하지 않기 때문에, 앱을 개발한 실무자가 다른 역할로 이동하면 그 앱은 주인 없는 유령선이 됩니다. 이런 앱은 누구도 책임지지 않지만 비용을 발생시키는 앱이 될 수 있습니다.
특히 회사 내부 시스템 또는 데이터베이스에 연결된 앱인 경우, 그 앱의 라이프사이클 책임자가 명확히 정의되어 있어야 합니다.
3. 거버넌스 미흡
대부분의 기업은 IT 거버넌스를 구축하고 있지 않습니다. 따라서 누가 코드를 검수할지, 앱은 어디에 배포할지, 데이터 접근 권한은 누가 관리할지 등이 결정되어 있지 않아 다음 둘 중의 하나의 상황을 겪습니다. 첫째, 바이브코딩을 금지시킨다. 둘째, 범람하는 바이브코딩 앱으로 인해 데이터 유출 위험이 상승한다.
앞서가는 기업의 대응 방식
이 문제를 해결하는 기업은 개발 속도를 늦추는 게 아니라, 빠른 개발을 뒷받침할 공통 관리 기반을 마련하는 것입니다. 이를 "AI 거버넌스"라고 합니다. 실제로 효과적인 접근 방식은 다음 세 단계로 정리됩니다.
1단계: 개발은 분산하고 거버넌스는 중앙화합니다
누구나 앱을 만들게 하되, 인프라 통제 권한은 제한해야 합니다. IT 부서가 데이터 연동, SSO, 역할 기반 접근 제어(RBAC), 감사 로그, 배포 기준과 같은 안전장치를 한 번 설정합니다. 이후 만들어지는 모든 앱이 이 정책을 자동으로 따르게 합니다.
거버넌스가 개발 기반에 충분히 녹아 있으면 개발자는 복잡한 통제 절차를 일일이 다룰 필요가 없습니다. 필요한 기능을 정의하면 인증과 권한, 배포 정책은 공통 기준에 따라 자동으로 적용됩니다.
2단계: IT 부서가 모든 앱을 한눈에 보게 합니다
앱이 10개에서 200개로 늘어나면 중요한 질문은 “더 만들 수 있는가?”가 아니라 “무엇이 실행 중인지 파악할 수 있는가?”로 바뀝니다.
IT 부서에는 모든 앱과 개발자, 데이터 연결, 배포 현황을 한곳에서 확인하는 중앙 대시보드가 필요합니다. 감사 과정에서 “누가 이 데이터에 접근할 수 있는가?”라는 질문을 받았을 때 몇 주가 아니라 몇 초 안에 답할 수 있어야 합니다.
3단계: 모든 앱을 내부 인프라에 배포합니다
AI로 만든 앱을 개인 노트북이나 외부 클라우드에 방치해서는 안 됩니다. 조직의 VPC와 보안 경계 안에 배포해야 합니다.
빠른 앱 개발과 기존 보안 기준을 함께 충족하려면 배포 위치, 인증, 권한, 데이터 연결을 처음부터 조직의 인프라 정책에 맞춰야 합니다. 그래야 스프레드시트나 임시 도구에 머물던 운영 업무를 빠르게 앱으로 옮기면서도 보안 수준을 유지할 수 있습니다.
기업이 마주한 선택
소프트웨어가 저렴해진다고 소프트웨어의 수가 줄어들지는 않습니다. 오히려 기업이 지금까지 관리해 본 적 없는 규모로 그 수가 늘어납니다.
선택지는 두 가지입니다. 조직 전체의 AI 앱 개발을 금지하고 구성원들이 보안 경계 밖에서 몰래 앱을 만들게 두거나, 안전한 개발 환경, 즉 AI 거버넌스를 마련하는 것입니다.
바이브코딩 쓰나미는 모든 기업에 반드시 찾아옵니다. 중요한 것은 그 흐름을 통제할지, 아니면 휩쓸릴지입니다. 휩쓸리지 않고자 하는 기업은 미리 인증, 역할 기반 접근 제어, 감사 로그, 중앙 관리를 적용해두어야 합니다.