동료의 AI로 만들어진 앱이 회사 비밀을 유출할 수 있습니다
수천 개의 AI 제작 앱이 온라인에 비밀을 흘리고 있음
AI 코딩 도구 덕분에 웹앱을 몇 분 만에 만들고 띄우는 일이 지나치게 쉬워짐.
앱 개발 진입장벽이 낮아진 대신, 잠금장치 확인도 없이 AI가 만든 앱이 공개 배포되는 새 문제가 커지는 중.
WIRED는 Lovable, Replit, Base44, Netlify 같은 AI 개발 플랫폼으로 만든 이른바 vibe-coded 앱에서 중대한 보안 문제를 짚음.
생각보다 더 큰 문제인 이유
보안 연구자 Dor Zvi와 RedAccess 팀이 이런 앱 수천 개를 분석한 결과, 5,000개 넘는 앱에서 보안 장치나 인증이 거의 없거나 전무.
이런 앱 대부분은 '올바른' URL만 알면 사실상 누구나 접근 가능.
일부 앱은 장벽이 거의 없는 수준이라, 방문자가 아무 이메일 주소로도 로그인 가능.
노출된 앱 가운데 거의 절반은 의료 정보, 금융 기록, 기업 프레젠테이션, 전략 문서, 고객 챗봇 로그 같은 민감 데이터를 담은 것으로 보임.
조사 과정에서 개인식별정보가 포함된 병원 업무 배정표, 광고 구매 데이터, 시장 발표 전략, 영업 정보, 이름과 연락처가 담긴 고객 대화까지 드러남.
이런 앱 가운데 일부는 아직도 온라인에 남아 있는 상태.
다만 WIRED는 검토한 데이터 전부가 실제 데이터인지, 또는 모두 민감 정보인지까지는 검증하지 못함.
IT에서 vibe coding이 위험해진 방식
문제는 허술한 AI 앱 몇 개로 끝나지 않음.
이런 도구는 소프트웨어 엔지니어링이나 보안 경험이 없는 사람도 앱을 빠르게 만들고 공개하게 만들고, 그 과정이 기존 IT 승인 절차 바깥에서 이뤄지는 경우가 많음.
마케팅팀 구성원, 운영 담당자, 스타트업 창업자도 내부용 도구를 만들어 실제 데이터에 연결한 뒤, 그대로 웹에 열어버릴 수 있음.
Zvi는 이 상황을 과거 Amazon S3 버킷 오설정 사태와 비교함.
그때도 설정 실수 하나로 기업들이 대규모 민감 데이터를 유출함.
보안 연구자 Joel Margolis 지적처럼, AI 코딩 도구는 사용자가 시킨 일만 함.
사용자가 보안을 명시적으로 요구하지 않으면, 앱이 기본적으로 안전하지 않을 가능성이 큼.
회사들은 뭐라고 했나
Replit CEO Amjad Masad는 X에서, 비공개여야 할 앱을 일부 사용자가 공개 웹에 게시했다고 적음.
공개 앱이 온라인에서 접근 가능한 상태인 건 예상된 동작
Lovable은 노출 데이터와 피싱 신고를 심각하게 보고 있으며, 조사 중.
Base44의 모회사 Wix는 자사 플랫폼이 보안 및 가시성 제어 기능을 제공하고 있고, 공개 접근은 플랫폼 취약점이 아니라 사용자 설정 선택의 결과라고 주장.
vibe coding을 스타트업 성공 지름길처럼 여기는 시각에 대한 현실 점검이 필요함.
AI가 만든 앱은 빠르게 움직이지만, 그 속도만큼 실제 대가도 큼.
감독 부실, 숨은 취약점, 허술한 공개 설정이 겹치면 AI 제작 앱은 제품이 사용자 손에 들어간 뒤 심각한 문제로 번질 수 있음.
