AI는 코드를 작성하고 검토할 수 있습니다. 하지만 위험에 대한 책임은 여전히 인간에게 있습니다.

Anthropic의 Claude Code Security 출시는 AI 보조 소프트웨어 개발과 현대 사이버 보안에 접근하는 방식의 급격한 변화가 맞물리는 결정적인 전환점이 되었습니다. 이 새로운 Claude 기능은 AI가 생성한 코드의 취약점을 식별할 수 있지만, 이는 신뢰와 실패의 단일 지점을 동시에 생성하므로 숙련된 사람이 여전히 해당 결과를 평가하고 적절한 수정 경로를 결정해야 합니다. 이러한 접근 방식은 컨설팅 기업 Acceligence의 CEO인 Justin Greis와 같은 전문가들의 지지를 받고 있습니다. 그는 CSO Online과의 인터뷰에서 “AI든 무엇이든 간에 코드 스캔 도구에 맹목적으로 의존하여 올바른 보안 관행과 안전한 코딩의 기본을 대체하려는 사람들에게 경고합니다. 이는 여러분이 개발 중인 제품이나 서비스의 가치를 보호하는 핵심 전문성을 외주화하지 말라는 강력한 신호입니다.”라고 말했습니다.

그런 측면에서 이 모델은 기존의 SAST 도구와 근본적으로 다르지 않습니다. 추론 능력은 더 뛰어나지만, 위험에 민감한 사용 사례에서는 여전히 사람이 직접 개입하여 도구가 제시하는 문제를 해석, 검증하고 안전하게 수정해야 합니다.

조직에 대한 위협은 AI의 능력 자체가 아니라, 소프트웨어 개발 수명 주기 내에서 통제되지 않는 AI의 자율성과 낮은 감독 수준입니다. AI가 코드를 생성하고 평가까지 수행할 때, 강력하고 정밀한 거버넌스는 필수적인 통제 수단이 됩니다.

확장되는 “개발자”의 정의

AI는 앱과 소프트웨어를 만드는 진입 장벽을 낮췄습니다. 하지만 AI를 사용하여 빠르게 무언가를 만들 수 있다고 해서 그것이 가장 안전하거나 탄력적인 방식은 아니며, 해당 프로젝트가 사용자에게 바로 제공될 준비가 되었다는 의미도 아닙니다. 이른바 ‘바이브 코딩(vibe coding)’의 전제는 ‘몰입 상태(flow state)’에 진입하는 것이며, 보안과 같은 기업 수준의 개발 절차는 나중에 처리하는 것입니다.

오늘날의 “개발자”는 다음과 같을 수 있습니다:

• AI를 사용하여 코딩 작업을 가속화하는 전통적인 엔지니어
• 프롬프트를 통해 기능을 프로토타이핑하는 제품 관리자
• AI를 통해 스크립트를 자동화하는 데이터 분석가
• AI를 활용하여 테스트 케이스를 생성하는 QA 엔지니어

조직 보안의 관점에서 누가 코드를 작성하느냐는 코드가 프로덕션에 도달했을 때 미치는 영향보다 훨씬 덜 중요합니다. 규정 준수 및 위험 관리 측면에서, 개인이 AI와 상호작용하여 기업별 보안 감독 없이 소프트웨어 개발 수명 주기(SDLC)에 코드를 삽입하게 되면 조직적 위험이 발생합니다. 이는 반드시 이해하고 측정하며 완화해야 하는 위험입니다.

인간의 판단이 여전히 중요한 이유

프로덕션이나 민감한 코드베이스에 영향을 줄 수 있는 코드를 생성할 수 있는 개인이 늘어남에 따라 조직의 위험 프로필도 확대됩니다. 거버넌스는 AI 기반 개발을 대규모로 활성화하는 동시에 기업을 보호하는 데 필요한 통제 수단이 확실하게 유지되도록 진화해야 합니다.

AI는 꽤 안정적으로 코드를 생성하고 잠재적인 취약점을 표시할 수 있습니다. 하지만 AI가 할 수 없는 것은 해당 코드가 귀사의 아키텍처, 데이터 흐름, ID 모델, 규제 의무 또는 위험 허용 범위 내에서 적절한지 검증하는 것입니다. 이는 보안 프로그램의 효능에 영향을 미치는 근본적인 정보입니다. 또한, Claude Code와 같은 도구를 SDLC에 구현하는 것과 별개로, BaxBench와 같은 도구는 방대한 데이터 분석을 통해 모델마다(예: Opus vs Sonnet 4.5 vs Sonnet 3) 보안 및 정확성 측면에서 결과값이 다르다는 것을 보여줍니다. 이는 기업이 작동 가능하고 안전한 코드를 얻기 위해 최종적으로 지불하는 비용에 엄청난 차이를 만듭니다.

안전한 소프트웨어는 단순히 스캔을 통과한 코드가 아닙니다. 시스템 설계, 비즈니스 의도, 기업 정책과 원활하게 일치하는 올바르고 안전한 패턴을 따라야 합니다. 여기에는 판단력이 필요합니다. 개발자가 AI에 의존하여 코드를 생성하거나 검토할 때, 코드베이스에 대한 이해도가 낮아질 위험이 큽니다. 엔지니어가 특정 코드가 왜 작동하는지, 왜 안전한지 완전히 설명할 수 없다면 조직은 이미 통제력을 한 단계 잃은 것입니다.

검증은 탐지와 같지 않습니다. 책임은 자동화와 같지 않습니다. AI는 도울 수 있지만 책임을 질 수는 없습니다(현재까지 AI의 무분별한 행동에 따른 결과로부터 인간을 면책하는 법안은 없습니다).

인간의 개입을 통한 감독은 구시대적인 개념이 아닙니다. AI 기반 개발 환경에서 이는 소프트웨어 개발 수명 주기에 진입하는 코드가 의식적으로 검토되고, 이해되며, 승인되었음을 보장하는 일차적인 안전장치입니다. 이러한 판단의 층위가 없다면 속도는 곧 노출 위험이 됩니다.

교육은 안전한 AI 도입의 토대가 되어야 합니다

이러한 맥락에서 안전한 코딩 교육은 '있으면 좋은 것'에서 '핵심 기업 통제 수단'으로 진화합니다. “개발자”는 운영자에서 오케스트레이터로 진화할 것이며, 교육의 초점은 안전한 코드 개발에서 AI 생성 코드의 보안을 평가하는 것으로 이동할 것입니다.

AI 생성 코드를 검증하고, 프롬프트 인젝션과 같은 새로운 AI 취약점 유형을 예측하며, AI 패턴이 아키텍처와 어떻게 상호작용하는지 이해하는 데 필요한 기술은 일회성 규정 준수 교육 모듈로는 배울 수 없습니다. 이는 지속적이고 실용적이어야 하며, 기존 워크플로우에 통합되어 실제 위험 결과에 따라 측정 가능해야 합니다.

AI 소프트웨어 거버넌스: 우리가 놓치고 있는 통제 계층

많은 보안 프로그램이 여전히 애플리케이션 보안을 개발 후반부의 기능으로 취급합니다. AI 기반 환경에서는 이러한 모델이 더 이상 위험 감소에 동일한 효과를 발휘하지 못합니다. 이제 필요한 것은 AI 소프트웨어 거버넌스입니다. 이는 AI 기반 소프트웨어 개발 수명 주기를 위한 진정한 엔터프라이즈 제어 평면입니다. 이 체계는 AI 기반 소프트웨어 개발 수명 주기 전반에 걸쳐 코드 생성, 검토 및 승인에 대한 구조화된 감독을 확립합니다.

포함 사항:

• 팀 전반의 AI 도구 사용 현황 파악
• SDLC 내 AI 생성 코드에 대한 명확한 귀속
• 코드 변경 사항과 위험 신호 및 정책 요구 사항 간의 상관관계 분석
• 개발자 워크플로우 내 보안 코딩 표준 강제
• 지속적인 역량 강화 및 측정 가능한 보안 코딩 능력 확보
• 코드가 프로덕션에 도달하기 전 보안 위험의 가시적 감소

거버넌스는 탐지와 의사결정을 연결하는 가교로서, 생산성 향상이 책임성을 희생시키지 않도록 보장합니다.

AI는 소프트웨어 구축 방식을 계속해서 변화시킬 것이며, 이를 포기하는 것은 현실적이지도 바람직하지도 않습니다. 결국 생산성과 혁신을 통한 이득이 너무나 크기 때문입니다. 하지만 안전하게 가치를 창출하려면 체계적인 감독과 의도적인 인간의 검증이 필요하며, 이러한 인프라 구축을 서두르거나 간과해서는 안 됩니다.