2025년 AI와 Secure-by-Design의 영향력에 대한 Secure Code Warrior의 10가지 핵심 예측

흥미진진하면서도 도전적이었던 한 해를 뒤로하고 2025년을 맞이하는 지금, AI와 소프트웨어 개발의 결합은 앞으로도 개발자 커뮤니티를 의미 있는 방식으로 변화시킬 것입니다.

조직은 장기적인 생산성, 지속 가능성, 보안 투자 수익률(ROI)을 뒷받침하기 위해 AI 활용과 관련하여 어려운 결정을 내려야 하는 상황에 직면해 있습니다. 지난 몇 년간 AI가 개발자의 역할을 완전히 대체할 수는 없다는 점이 분명해졌습니다. AI와 개발자의 협업부터 '설계 단계부터 보안(Secure-by-Design)'에 대한 기대치와 관련하여 커지는 압박(및 혼란)에 이르기까지, 내년에 무엇을 기대할 수 있을지 자세히 살펴보겠습니다:
‍

AI 방정식의 재정립: 개발자를 대체하는 AI가 아닌, AI와 개발자의 협업

“2025년 기업들이 대대적인 비용 절감 조치를 취해야 하는 상황에서, 개발자가 AI 도구로 대체된다고 해도 놀랄 일은 아닐 것입니다. 하지만 생성형 AI가 처음 등장했을 때와 마찬가지로, 수년간의 업데이트와 앞으로의 발전을 고려하더라도 AI는 특히 코드 작성에 있어 안전하고 자율적인 생산성 도구가 아닙니다. AI는 놀라운 응용 분야와 사용 사례를 가진 매우 파괴적인 기술이지만, 숙련된 인간 개발자를 충분히 대체할 수는 없습니다. 저는 2025년에 AI가 인간을 대체하려는 이러한 변화가 실패할 가능성이 높다는 포레스터(Forrester)의 예측에 동의하며, 특히 장기적으로는 더욱 그렇습니다. AI 단독보다는 AI와 개발자의 결합이 더 나은 성과를 낼 것이라고 생각합니다.”

‍

위험과 기회가 공존하는 AI

“2025년에는 AI가 생성한 코드로 인해 환각 스쿼팅(hallucination squatting), 오염된 라이브러리, 소프트웨어 공급망에 영향을 미치는 익스플로잇과 같은 기존 문제의 부작용을 포함한 새로운 위험 사례들이 나타날 것입니다. 또한, 구글의 프로젝트 제로(Google’s Project Zero)가 최근 입증했듯이, AI는 코드의 결함을 찾는 데 훨씬 더 많이 사용될 뿐만 아니라 익스플로잇을 작성하는 데에도 활용될 것입니다. 반면, 기업 개발자들이 추가적인 위험을 초래하지 않으면서 업무에 이러한 도구를 활용할 수 있는 초기 수준의 성숙도에 도달하는 모습도 볼 수 있을 것입니다. 하지만 이는 일반적인 경우가 아닌 예외적인 사례가 될 것이며, 조직이 개발자 위험을 적극적으로 측정하고 그에 따라 보안 프로그램을 조정하는지에 달려 있습니다. 2025년에 확실히 도래할 급변하는 위협 환경 속에서, 승인된 AI 코딩 도구를 갖춘 숙련된 보안 인식 개발자들은 더 빠르게 코드를 생산할 수 있겠지만, 보안 인식이 낮고 일반적인 기술만 가진 개발자들은 더 많은 문제를 더 빠르게 야기할 뿐일 것입니다.”

‍

그림자 AI(Shadow AI)에서 벗어나기

“AI를 둘러싼 입법 환경은 기술의 잦은 발전과 채택 속도를 따라잡기 위해 빠르게 변화하고 있습니다. 2025년 보안 리더들은 잠재적인 지침을 준수할 준비가 되어 있는지 확인해야 합니다. '그림자 AI'의 본질을 이해하고 조직 내에서 사용되지 않도록 보장하는 것, 그리고 회사 시스템에 설치된 승인되고 검증된 도구만 엄격하게 사용하는 것, 이 두 가지를 결합하는 것이 내년 조직에 가장 중요할 것입니다. 이는 개발자 그룹에 대한 더 큰 평가로 이어질 것이며, 그들이 보안 역량을 지속적으로 키우고 업무의 모든 측면에 이를 적용할 수 있도록 어떻게 가장 잘 지원해야 할지 이해하는 계기가 될 것입니다.”

‍

AI 도구의 보안 수준, 개발자의 핵심 평가 지표가 될 것

“현재 LLM 기반 코딩 도구 시장은 무법지대와 같습니다. 더 나은 결과물, 보안, 생산성을 자랑하는 새로운 도구들이 끊임없이 쏟아져 나오고 있습니다. 2025년을 앞두고 우리는 각 AI 도구의 보안 수준을 벤치마킹하고 평가할 수 있는 표준이 필요합니다. 여기에는 코딩 기능, 즉 위협 행위자가 악용할 수 없는 안전하고 우수한 코딩 패턴으로 코드를 생성하는 능력이 포함됩니다.”

‍

AI로 인해 신입 개발자의 업계 진입이 더 어려워질 것

“개발자의 진입 장벽이 그 어느 때보다 높아졌습니다. 하이브리드 및 분산 근무 환경과 신입 역할에 요구되는 기술 수준으로 인해 신입 개발자에 대한 기준은 매년 높아지고 있습니다. 2025년에는 고용주들이 신입 개발자에게 직무 교육에 시간을 할애하기보다는, 업무 시작 시점부터 워크플로우 내에서 AI 도구를 안전하게 통합하고 최적화할 수 있는 기술과 지식을 갖출 것을 기대하기 시작할 것입니다. 내년 안에 개발 워크플로우에서 AI 도구를 활용하는 방법을 배우지 못하는 개발자들은 자신의 경력 성장에 상당한 타격을 입게 될 것이며, 취업 기회를 얻는 데 어려움을 겪게 될 것입니다. 안전한 AI 활용 능력이 궁극적으로 핵심 역량이 됨에 따라, 이들은 더 복잡한 프로젝트에 참여할 수 있는 '코딩 자격'을 얻는 데 지장을 초래할 위험이 있습니다.”

‍

시간 부족으로 인해 '설계 단계부터 보안' 달성 어려워질 것

“개발자가 '설계 단계부터 보안(Secure by Design)'을 달성하려면 기술을 습득하고 올바른 도구와 관행을 익힐 충분한 시간과 자원이 필요합니다. 보안 및 엔지니어링 리더의 지원을 받지 못하면 이러한 진전은 방해받거나 완전히 중단될 것입니다. 조직이 비용을 절감하거나 자원을 제한하려 할 때, 종종 장기적인 해결책보다는 즉각적인 수정 작업에 우선순위를 둡니다. 즉, 일부 기능은 '그럭저럭' 수행하지만 나머지는 '평범한' 수준인 다각적 수정 도구에 집중하는 식입니다. 2025년에는 이러한 불균형으로 인해 보안 소프트웨어 개발을 우선시하는 조직과 변화하는 환경에 발맞추기 위해 빠른 해결책만을 원하는 조직 간의 격차가 더욱 커질 것입니다.”

‍

공급망 보안 감사가 글로벌 위험 완화에 중요한 역할 할 것

“모든 아웃소싱 및 제3자 공급업체에 대한 조사가 강화될 것입니다. 내부적으로는 최고의 보안 프로그램을 갖추고 있더라도, 아웃소싱을 받는 기업이 '설계 단계부터 보안'을 실천하지 않는다면 전체 보안 프레임워크가 위태로워질 수 있습니다. 결과적으로 조직은 아웃소싱 노력을 엄격하게 감사하게 될 것이며, 비즈니스 리더들에게 엄격한 보안 및 산업 규정 준수 지침을 따르도록 압박할 것입니다. 궁극적으로 보안 팀의 성공은 조직 전체와 외부 파트너를 아우르는 통합된 접근 방식을 포함한 전체적이고 360도적인 관점에 달려 있습니다.”

‍

AI는 '불필요한 정보 걸러내기'에 핵심적인 역할을 할 것입니다

“개발 팀은 코드 취약점 스캐너의 높은 오탐률로 어려움을 겪고 있습니다. 할당된 취약점이 실제로 보안 위험인지 어떻게 확신할 수 있을까요? 2025년, AI는 개발자가 코드 수정 과정에서 '불필요한 정보를 걸러내고' 코드 자체를 더 깊이 이해하도록 돕는 핵심 도구가 될 것입니다. 머신러닝을 활용하는 AI는 맥락에 따라 실제 위협의 우선순위를 더 정확하게 정할 수 있어, 보안 알림의 정확도를 높이는 데 드는 시간을 줄여줍니다. 이를 통해 팀은 진정한 위험이 되는 취약점에 집중하여 전반적인 효율성을 높이고, 더 빠르고 안전한 개발 주기를 실현할 수 있습니다.

‍

벤치마킹, 조직의 'Secure-by-Design' 목표 달성을 위한 해결책이 될 것

“보안 벤치마크의 부재는 2025년 조직에 치명적인 결과를 초래할 것입니다. 'Secure by Design(설계부터 보안)' 표준을 충족하기 위한 진행 상황을 측정할 명확한 기준이 없기 때문입니다. 팀이 안전한 코딩 관행을 얼마나 잘 준수하는지 평가할 벤치마킹 시스템이 없다면, 조직은 의도치 않게 취약점을 도입하여 대규모 침해 사고로 이어질 위험이 있습니다. 만약 침해가 발생하더라도 벤치마킹 시스템을 도입할 시간적 여유가 없을 것이며, 개발 팀의 보안 성숙도를 평가하지 않은 채 SBD 이니셔티브를 서둘러 추진하게 되어 조직을 더 큰 위험에 노출하게 될 것입니다.”

‍

AI 생성 코드가 초래할 기술 부채

“이미 작성된 코드만으로도 업계가 막대한 기술 부채 문제에 시달리고 있다는 것은 공공연한 사실입니다. 여기에 경영진의 감독 부족과 더불어, 보안이 검증되지 않은 AI 생성 코드를 무비판적으로 수용하는 개발자가 급증하면서 상황은 더욱 악화될 것입니다. 이러한 역학 관계로 인해 내년에는 보고되는 CVE가 10배까지 증가할 가능성이 매우 높습니다.”

‍

2025년을 성공적으로 보내기 위해 조직은 AI를 책임감 있고 안전하게 도입해야 하며, 개발 팀을 위한 적절한 교육과 위험 완화 투자도 병행해야 합니다. 내년은 CISA의 'Secure-by-Design' 서약 1주년이 되는 해입니다. 경쟁 우위를 유지하는 기업은 AI, 제3자 보안 문제 및 기타 신흥 위협과 관련된 위험을 제거하기 위해 보안 개발 접근 방식을 최우선으로 고려하는 곳이 될 것입니다.