AI가 생성한 코드를 안전하게 보호하는 방법 CI/CD

AI가 생성한 코드가 특정 패턴에서 실패하는 이유는 무엇일까요?

제어 방법을 살펴보기 전에, AI가 생성한 코드가 사람이 작성한 코드와 다르게 실패하는 이유를 이해하는 것이 중요합니다. 실패 모드에 따라 실제로 중요한 제어 방법이 결정되기 때문입니다.

보안 추론보다 패턴 완성

LLM(Learning Leadership Model)은 훈련 데이터에서 관찰한 패턴의 통계적으로 가능성이 높은 연속성을 예측하여 코드를 생성합니다. 훈련 데이터에 수백만 개의 취약한 코드 예제가 포함되어 있으면, 모델은 이러한 패턴을 자신감 있고 유창하게 재현할 수 있습니다.

이 모델은 보안에 대해 추론하는 것이 아니라 패턴을 완성하는 것입니다. "이 엔드포인트에 인증을 추가하세요"라는 요청은 인증처럼 보이는 코드를 생성하고 종종 인증처럼 작동하지만, 토큰 만료를 생략하거나, 권한 확인을 놓치거나, 더 이상 사용되지 않는 암호화 기본 요소를 사용할 수 있습니다. 왜냐하면 이러한 누락은 학습 데이터에서 통계적으로 흔하기 때문입니다.

의미 안전성 없는 구조적 정확성

보안 회사 텐자이(Tenzai)는 2025년 12월, 5개의 주요 AI 코딩 도구를 사용하여 개발된 15개의 실제 애플리케이션을 분석한 결과, 샘플 전체에서 69개의 취약점을 발견했습니다. 모든 애플리케이션에 CSRF(서버 측 요청 위조) 방지 기능이 없었고, 보안 헤더도 설정되어 있지 않았습니다. 또한 모든 도구에서 SSRF(서버 측 요청 위조) 취약점이 발견되었는데, 이는 15개 애플리케이션 모두에서 기본적인 보안 결함이 만연했음을 의미합니다.

이것들은 예외적인 경우가 아닙니다. AI 도구가 최적화하는 대상, 즉 작동하는 코드가 아닌 안전한 기본값에 대한 체계적인 결함입니다.

조지타운 CSET는 별도로 5개 주요 LLM에서 테스트한 AI 생성 코드 샘플의 86%에서 XSS 취약점을 발견했습니다.

가속화된 비밀 폭로

AI 지원 commits는 인간만 있을 때보다 두 배 이상 빠른 속도로 비밀을 폭로한다 commit의. CSA 연구 보고서: 바이브 코딩 보안 AI 지원의 경우 그 수치를 3.2%로 제시합니다. commit사람 전용의 경우 1.5%에 비해 s의 비율이 높았으며, 공개 GitHub에서는 2025년에 하드코딩된 자격 증명이 전년 대비 34% 증가했습니다.

이 메커니즘은 간단합니다. AI 속도로 작업하는 개발자는 종종 자격 증명을 컨텍스트로 프롬프트에 붙여넣고, AI 도구는 생성된 출력에 해당 자격 증명을 그대로 포함합니다. 빠른 속도로 AI 코드를 검토하는 개발자는 기밀 정보 노출이 아닌 기능적 정확성을 확인합니다.

보이지 않는 건축적 결함

기존 보안 도구는 SQL 인젝션, XSS, 안전하지 않은 역직렬화와 같은 정적 코드의 알려진 취약점 패턴을 찾는 데 탁월합니다. 하지만 설계 수준의 결함, 전체 API 경로에 대한 인증 누락, 잘못된 접근 제어 로직, 순차적 흐름을 가정하지만 순서에 상관없이 우회될 수 있는 권한 부여 모델과 같은 문제에는 제대로 대응하지 못합니다.

AI가 생성한 코드는 시스템 수준이 아닌 기능 수준에서 생성되기 때문에 설계 결함을 더 많이 유발합니다. AI는 명시적으로 해당 컨텍스트를 제공하지 않는 한 주변 시스템의 보안 모델을 인식하지 못하며, 대부분의 개발자는 이를 제공해야 한다는 생각을 하지 않습니다.