AI가 프로토타입을 만든 다음에는 무슨 일이 벌어질까?

2025년은 ‘바이브 코딩’의 해였습니다. 코드를 한 줄도 작성해 본 적 없는 직원들이 거의 하룻밤 사이에 마법처럼 정교한 프로토타입을 내놓기 시작했습니다.

하지만 AI가 만들어 내는 결과물과, 기업이 실제로 배포할 수 있는 소프트웨어 사이에는 큰 간극이 있습니다. 이는 각 기업이 풀어야 할 가장 중요한 과제입니다.

누구나 5분 만에 앱을 만드는 지금, 앱 단위 보안이 왜 무너지는지, 기업의 IT 및 보안 팀은 어떤 준비를 해야 하는지 살펴보겠습니다.

작동한다고 운영 준비가 끝난 것은 아닙니다

현업 사용자가 AI로 만든 앱이 정상적으로 작동하더라도, 조직 전체로 안전하게 확장할 수 있는 운영용 내부 도구와는 근본적으로 다릅니다. 겉으로는 완성된 앱처럼 보이지만, 실제 데이터베이스에 연결하거나 고객 데이터를 다루는 등 어려운 요건이 있는 환경에서 실행하는 순간부터 문제가 시작됩니다.

이 앱이 어떤 데이터에 접근할 수 있는지는 누가 결정해야 할까요? 보안 모델은 누가 검토해야 할까요? 지나치게 넓은 권한을 부여받은 LLM 기반 앱이 조용히 데이터를 유출한다면 누가 책임져야 할까요?

오늘날 많은 조직에서 이런 질문들에 쉽게 답하지 못하고 있습니다. 대부분의 바이브코딩 앱이 이런 질문을 검토하는 절차를 거치지 않기 때문입니다. 결국 배포하지 못하거나, 엔지니어가 처음부터 다시 만들거나, 아무런 거버넌스 검토 없이 운영 환경에 배포되어 큰 사고로 이어집니다.

바이브 코딩이 신뢰 모델을 무너뜨리고 위험을 키우는 이유

누구나 앱을 만들게 되면 기업 보안이 무너집니다. 기업용 소프트웨어에는 오랫동안 단순한 신뢰 모델이 적용됐습니다. 신원이 확인된 개발자가 코드를 작성하고, 검토를 거친 뒤, 명시적인 권한을 부여해 배포하는 방식입니다.

그런데 AI가 생성한 코드는 이 모델의 모든 요소를 뒤집습니다.

이제 앱을 만드는 사람이 개발자가 아니라 실무진이 될 것이며, 단기간에 생성되는 코드의 양이 너무 많아 사람이 검토할 수 없게 될 것입니다. 또한 명시적 권한을 부여하지 않고 AI가 스스로 판단해 인터넷에 앱을 배포할 수도 있습니다.

보안 연구자들은 이미 이런 양상을 목격하고 있습니다. 연구에 따르면 AI가 생성한 기업용 코드에서 가장 흔한 취약점 세 가지는 미흡한 사용자 입력값 검증, 지나치게 넓은 IAM 역할, 소스코드에 포함한 민감 정보입니다. AI 모델은 ‘안전한가’보다 ‘작동하는가’를 우선하기 때문에 이런 기본 보안 원칙을 반복해서 빠뜨립니다.

그렇다면 사내 바이브코딩 지침을 공지하고, "앱을 만든 후 보안이 잘 갖춰졌는지 AI에게 물어보라"라고 하면 문제가 해결될까요? 그렇지 않습니다.

앱 단위 보안만으로는 부족한 이유

내부 도구를 보호하는 전통적인 방식은 앱 단위 거버넌스입니다. 각 앱이 누가 무엇을 보고 수정할 수 있는지, 어떤 데이터에 접근할 수 있는지를 직접 정하는 것입니다.

이 모델은 사내 IT부서가 몇 주 또는 몇 달에 걸쳐 수십 개의 내부 앱을 만들던 시절에는 효과가 있었습니다. 권한을 제대로 설정할 시간이 있었고, 각 결정에 책임지는 명확한 책임자가 있었습니다.

하지만 조직 구성원 누구나 5분 만에 앱을 만드는 요즘 환경에서는 작동하지 않습니다. 앱을 개발하는 주체가 개발 전문가가 아니기 때문입니다. 비개발자의 프롬프트를 따르는 LLM이 앱을 생성한다면, 보안 규칙도 LLM의 판단에 맡겨집니다. 이러한 현상에 대해 삼성 스마트싱스 임원 니킬 자인은 포브스 기고문에서 “AI는 코드를 생성할 수 있지만 거버넌스까지 자동으로 만들어 주지는 않는다”고 표현했습니다.

이를 대규모 조직에 적용해 보면 문제가 더 분명해집니다. 직원 500명이 각자 AI로 앱을 만들 수 있다면, 통제받지 않는 데이터 접근 경로 500개가 생기는 셈입니다. 게다가 앱마다 보안 로직이 다르고, 각각 잘못 설정될 가능성도 있습니다. 무엇이 만들어졌고 어떤 데이터를 다루며 안전한지를 한곳에서 파악하기도 어렵습니다.

절차만으로 AI 거버넌스를 만들 수 없는 이유

거버넌스가 실패하는 까닭은 조직에 적절한 절차가 없어서가 아닙니다. 절차 자체가 이 문제에 맞는 해법이 아니기 때문입니다. 바이브코딩이 앱을 찍어내는 속도는 기하급수적으로 증가하므로, 절차가 아니라 환경을 구축해야 합니다.

위험이 커지면 검토 회의, 결재 라인, 보안 점검표 같은 절차를 추가하기 십상입니다. 하지만 AI 생성 앱은 어떤 검토 절차로도 감당하기 어려운 속도로 늘어납니다.

대안은 AI 거버넌스를 데이터 계층에 심는 것입니다. 쉽게 말해 앱 자체적으로는 데이터 접근 범위를 정할 수 없고, 전사 차원의 규칙에 의해 결정되는 방식입니다. 물론 팀마다, 실무자마다 각자 자신이 가진 엑셀을 코드에 반영한다면 데이터가 유출될 위험이 여전합니다. 하지만 이 경우 바이브코딩 과정에서 실무자가 의도적, 명시적으로 엑셀 데이터를 AI에게 제공해야 하므로 스스로 판단을 거칠 기회를 가집니다.

거버넌스를 우선하는 개발 방식

AI 거버넌스를 구축하면 다음과 같은 변화가 생깁니다.

• 중앙화된 권한 설정: 관리자는 각 앱이 접근할 데이터를 정합니다. 사내에서 실행되는 모든 앱은 이 규칙을 그대로 따릅니다. LLM이 새 앱을 생성해도 플랫폼이 미리 승인하지 않은 데이터에는 접근하지 못하므로 안전합니다.

• 감사 기록 자동화:  모든 데이터 접근이 하나의 거버넌스 계층을 지나면 모든 활동이 기록됩니다. 앱마다 별도로 계측하지 않아도 됩니다. 5분 전에 생성된 앱이라도 어떤 데이터에 접근했고 누가 사용했는지 확인할 수 있습니다.

끝으로, 바이브코딩의 진짜 위험은 앱의 보안이 허술하다는 데만 있지 않습니다. 앱이 관리되지 않는다는 점이 더 큰 문제입니다. 배포가 통제되지 않으면 IT 부서가 알지 못하는 곳에서 앱이 빠르게 늘어납니다. AI 거버넌스를 구축하면 사내 데이터에 접근하는 모든 앱의 위치를 파악할 수 있으므로, 사각지대를 없앨 수 있습니다.