심층 분석: AI 코딩 어시스턴트가 생성하는 취약점 탐색하기

어느 분야를 보더라도 거의 모든 산업에서 AI 기술에 대한 집착이 계속되고 있습니다. 소프트웨어 개발에서 빠른 기능 구현을 위한 해답으로 칭송받기도 하지만, 이러한 속도 향상에는 대가가 따릅니다. 도구 자체의 맥락 파악 능력 부족과 생산성 향상 및 어려운 개발 시나리오에 대한 답을 얻기 위해 AI에 의존하는 개발자들의 낮은 보안 역량으로 인해 심각한 보안 버그가 코드베이스에 유입될 가능성이 바로 그것입니다.

거대 언어 모델(LLM) 기술은 보조 도구의 획기적인 변화를 의미하며, 안전하게 사용된다면 많은 소프트웨어 엔지니어가 갈망하는 페어 프로그래밍 동반자가 될 수 있습니다. 그러나 AI 개발 도구를 무분별하게 사용할 경우 해로운 영향을 미칠 수 있다는 사실이 빠르게 입증되었습니다. 스탠퍼드 대학교의 2023년 연구에 따르면, AI 어시스턴트에 대한 의존은 결과물이 안전하다는 근거 없는 자신감을 높일 뿐만 아니라, 전반적으로 더 많은 버그와 보안 취약점을 초래할 가능성이 큰 것으로 나타났습니다.

LLM 기술을 완성하기 위한 경쟁이 계속됨에 따라 도구들도 계속 개선될 것이라고 기대하는 것은 타당하지만, 바이든 행정부의 새로운 행정 명령과 EU의 인공지능법을 포함한 수많은 권고안은 AI 도구 사용을 까다로운 길로 만들고 있습니다. 개발자들은 코드 수준의 보안 기술과 인식, 그리고 AI 도구의 결과물에 대한 비판적 사고를 연마함으로써 한발 앞서 나갈 수 있으며, 결과적으로 더 높은 수준의 엔지니어로 성장할 수 있습니다.

AI 코딩 어시스턴트는 어떻게 취약점을 유발할까요? 새로운 공개 미션을 플레이하고 직접 확인해 보세요!

‍

예시: 'ChatterGPT'에서의 크로스 사이트 스크립팅(XSS)

우리의 새로운 공개 미션은 대중적인 LLM의 익숙한 인터페이스를 보여주며, 2023년 11월 말에 생성된 실제 코드 스니펫을 활용합니다. 사용자는 이 스니펫을 해석하고 의도된 목적으로 사용될 경우 발생할 수 있는 잠재적인 보안 위험을 조사할 수 있습니다.

“p HTML 요소의 콘텐츠를 변경하는 JavaScript 함수를 작성해 줄 수 있나요? 콘텐츠는 함수를 통해 전달됩니다.”라는 프롬프트에 따라 AI 어시스턴트는 충실하게 코드 블록을 생성하지만, 보이는 것이 전부는 아닙니다.

챌린지를 이미 플레이해 보셨나요? 아직이라면 더 읽기 전에 지금 시도해 보세요.

…좋습니다. 이제 완료하셨으니 해당 코드가 크로스 사이트 스크립팅(XSS)에 취약하다는 사실을 아실 겁니다.

XSS는 웹 브라우저의 핵심 기능을 조작함으로써 발생합니다. 신뢰할 수 없는 입력값이 페이지에 출력될 때, 이것이 실행 가능하고 안전한 코드로 잘못 해석되면서 발생할 수 있습니다. 공격자는 입력 매개변수 내에 악성 스니펫(HTML 태그, JavaScript 등)을 삽입할 수 있으며, 이 스니펫은 브라우저로 반환될 때 데이터로 표시되는 대신 실행됩니다.

소프트웨어 개발에서 AI 코딩 어시스턴트 안전하게 사용하기

현업 개발 팀을 대상으로 한 최근 설문조사에 따르면, 거의 모든 팀(96%)이 워크플로우에 AI 어시스턴트를 사용하기 시작했으며, 80%는 보안 정책을 우회하면서까지 도구 키트에 포함하고 있는 것으로 나타났습니다. 또한 절반 이상이 생성형 AI 도구가 종종 보안에 취약한 코드를 생성한다는 점을 인정했지만, 이러한 사실이 도입 속도를 늦추지는 못했습니다.

새로운 소프트웨어 개발 시대에 이러한 도구의 사용을 막거나 금지하는 것은 효과적이지 않습니다. 대신 조직은 개발 팀이 보안이나 코드 품질을 희생하지 않으면서도 효율성과 생산성 향상을 누릴 수 있도록 지원해야 합니다. 이를 위해서는 보안 코딩 모범 사례에 대한 정밀한 교육이 필요하며, 특히 AI 어시스턴트가 생성한 코드의 잠재적 위협을 평가할 때 보안을 최우선으로 생각하도록 비판적 사고 능력을 확장할 기회를 제공해야 합니다.

추가 읽기 자료

XSS에 대한 전반적인 내용은 종합 가이드를 확인해 보세요.

안전한 코드 작성법과 위험 완화 방법에 대해 더 알고 싶으신가요? XSS 인젝션 챌린지를 무료로 체험해 보세요.

더 많은 무료 코딩 가이드라인을 원하신다면, Secure Code Coach를 통해 최신 보안 코딩 모범 사례를 확인해 보세요.

‍