AI 제작 웹앱 90%에 취약점｜바이브 코딩의 위험성이 밝혀지다

이 글에서 알 수 있는 것

• AI가 생성한 웹앱의 90%에서 취약점이 발견된 조사 결과
• 바이브 코딩으로 만들어진 앱에 숨어 있는 구체적인 보안 위험
• 취약점이 생기는 3가지 원인과 대처 방법
• 전 세계로 확산되는 AI 생성 코드의 보안 문제

AI가 만든 웹앱, 90%에 취약점

2026년 10월 7일, Microsoft와 싱가포르 AI 안전 연구소 등 연구팀이 중대한 조사 결과를 발표했습니다. AI로 자동 생성한 웹 애플리케이션을 조사한 결과, 91%의 앱에서 취약점이 발견되었습니다.

조사 대상은 바이브 코딩으로 만들어진 공개 중인 웹앱 200건입니다. 바이브 코딩이란 AI에게 지시하는 것만으로 앱을 만드는 기법을 말합니다. 발견된 취약점은 총 1,186건이었으며, 그중 65.77%는 심각도가 치명적 또는 높음으로 분류되는 중대한 것들이었습니다.

연구팀은 ITmedia의 보도에 따르면, Claude와 Lovable 등 AI 툴로 만들어진 984건의 앱 중 무작위로 200건을 추출해 조사했습니다.

바이브 코딩이란 무엇인가

바이브 코딩은 프로그래밍 전문 지식이 없어도 AI에게 "이런 앱을 원해"라고 전달하는 것만으로 앱이 완성되는 기법입니다. 코드를 직접 작성하는 것이 아니라, AI에게 분위기를 전달해 만들어 달라는 방식입니다.

예를 들어 "사용자가 로그인할 수 있고, 게시물을 공유할 수 있는 SNS 앱"이라고 지시하는 것만으로, AI가 데이터베이스 설계부터 프런트엔드 화면까지 자동으로 생성합니다. 개발 기간은 기존의 수 주에서 수 시간으로 단축할 수 있게 되었습니다.

편리한 반면, 문제가 있습니다. AI는 작동하는 코드를 만들지만, 보안까지는 충분히 고려하지 못합니다.

어떤 취약점이 발견되었나

이번 조사에서 가장 많았던 취약점은 다음 세 가지입니다.

첫 번째는 접근 제어의 미비입니다. 339건, 28.58%를 차지했습니다. 본래 접근할 수 없어야 할 데이터에 누구나 접근할 수 있게 되는 문제입니다. 예를 들어, 타인의 게시물을 마음대로 편집하거나, 관리자 전용 페이지에 일반 사용자가 들어갈 수 있는 경우입니다.

두 번째는 인젝션 공격에 대한 취약점입니다. 199건, 16.78%였습니다. 악의적인 코드를 입력란에 입력함으로써 시스템을 탈취할 수 있습니다. SQL 인젝션 등이 대표적인 예로, 데이터베이스의 내용을 모두 탈취당할 위험이 있습니다.

세 번째는 인증 실패입니다. 176건, 14.84%를 차지했습니다. 로그인 기능이 허술하여 비밀번호 없이 접근하거나, 손쉽게 타인으로 위장할 수 있습니다.

SecurityWeek가 보도한 별도의 조사에서는 434건의 취약점 중 23건이 치명적으로 평가되었으며, 그중 11건은 비밀번호나 API 키가 코드에 직접 기재된 문제였습니다.

왜 취약점이 생기는가

연구팀은 취약점이 생기는 원인을 세 가지로 분류했습니다.

가장 많은 것은 지식의 결함으로, 63.4%를 차지합니다. AI가 보안 모범 사례를 알지 못해 발생합니다. 예를 들어, 비밀번호는 암호화하여 저장해야 한다는 기본 원칙을 지키지 않고 평문으로 저장해 버리는 경우입니다. 평문이란 그대로 읽을 수 있는 상태를 말합니다.

두 번째는 목적의 결함으로, 23.1%였습니다. 사용자의 지시가 모호하거나 보안에 대해 아무런 언급이 없으면, AI는 일단 작동만 하면 된다는 코드를 만듭니다. 결과적으로 보안이 뒷전으로 밀리게 됩니다.

세 번째는 기억의 결함으로, 13.5%입니다. AI는 대화 도중 이전에 나온 지시를 잊는 경우가 있습니다. 예를 들어, 관리자만 접근할 수 있는 페이지라고 처음에 지시해도, 이후 대화에서 그 제한을 잊고 누구나 접근할 수 있는 코드를 생성해 버립니다.

전 세계로 확산되는 문제

이 문제는 일본만의 이야기가 아닙니다. Veracode의 2026년 보고서에 따르면, AI 생성 코드의 44%가 위험한 취약점을 포함하고 있습니다. 보안 테스트 합격률은 평균 56%에 그칩니다.

특히 심각한 것은 크로스사이트 스크립팅의 성공률이 15%, 로그 인젝션이 12%로 극단적으로 낮다는 점입니다. 반면 SQL 인젝션은 83%, 암호화 알고리즘은 87%로 높은 성공률을 보이고 있어, AI의 장단점이 명확하게 나뉘고 있습니다.

2025년 하반기에는 7개월 동안 18건이었던 취약점 보고가 2026년 첫 3개월 만에 56건으로 급증했습니다. 특히 2026년 3월 한 달에만 35건이 보고되어 2025년 전체를 상회했습니다. 바이브 코딩의 보급과 함께 문제도 빠르게 증가하고 있습니다.

대책은 있는가

조사에서는 몇 가지 대책의 효과도 검증되었습니다.

첫 번째 대책은 프롬프트 개선입니다. AI에게 내리는 지시에 "실제 운영에 견딜 수 있는 보안 앱을 만들어 주세요"라고 명시하는 것만으로, 취약점 재발률이 25.7%에서 11.0%로 낮아졌습니다. AI는 지시받지 않은 것은 고려하지 않으므로, 보안 요건을 명확하게 전달하는 것이 중요합니다.

두 번째는 보안 기능 추가입니다. AI에 보안 강화용 추가 기능을 내장하면 취약점 발생률이 11.9%까지 낮아졌습니다. 즉, AI 툴 측의 개선도 효과가 있습니다.

세 번째는 사람에 의한 리뷰입니다. @IT의 기사에서는 전문가가 AI 생성 코드는 반드시 사람이 최종 확인해야 한다고 지적하고 있습니다. 그러나 현재 AI 생성 코드에 기존과 동일한 보안 기준을 적용하는 조직은 불과 12%에 불과합니다.

일본 개발 현장에 미치는 영향

일본에서도 바이브 코딩의 활용이 확산되고 있습니다. GitHub Copilot은 2025년 중반에 2,000만 사용자를 돌파했으며, Google에서는 2026년 초 시점에서 신규 코드의 약 절반이 AI 생성이라고 보고되고 있습니다.

개발 속도가 빨라지는 한편, 보안 대책이 따라가지 못하고 있습니다. 특히 중소기업이나 스타트업에서는 전문 보안 담당자 없이 AI 툴을 사용해 앱을 공개하는 사례가 늘고 있습니다.

이번 조사 결과는 편리한 도구의 이면에 숨어 있는 위험을 명확히 밝혔습니다. AI는 강력한 조력자이지만, 보안에 대한 최종 판단은 사람이 내려야 합니다. 바이브 코딩을 사용할 때는 반드시 보안 전문가의 리뷰를 받는 것이 필요합니다.

정리

• Microsoft 등이 AI 생성 웹앱 200건을 조사하여 91%에서 취약점 발견
• 발견된 1,186건의 취약점 중 65.77%가 심각도 '높음' 이상
• 접근 제어 미비, 인젝션 공격, 인증 실패가 상위 3가지
• 취약점의 63.4%는 AI의 지식 부족이 원인
• AI 생성 코드의 44%가 위험한 취약점을 포함한다고 전 세계적으로도 보고됨
• 프롬프트 개선으로 취약점 발생률을 25.7%에서 11.0%로 줄이는 것이 가능
• 사람에 의한 보안 리뷰가 필수

참고 문헌

• 바이브 코딩으로 만든 공개 중인 웹앱, 90%에 취약점 MS 연구자 등 조사（ITmedia NEWS）
• Vibe-Coded Apps Riddled With Exploitable Security Flaws（SecurityWeek）
• 99%의 조직이 직면한 '바이브 코딩이 양산하는 취약한 코드'（@IT）
• 2026 GenAI Code Security Report: AI Is Writing More of Your Code but Security Hasn't Caught Up（Veracode）

---

이 글은 AI Friends 의 크로스포스트입니다.