든든한 조력자: AI 코딩 도구와 보안 의식을 갖춘 개발자가 안전하게 협업하는 방법

AI가 작성한 코드는 취약점과 결함으로 가득할 수 있지만, 보안 의식을 갖춘 개발자가 함께한다면 AI 코딩 도구는 여전히 유용한 조력자가 될 수 있습니다.

2023년은 인공지능의 최신 버전인 생성형 AI가 엄청난 인기를 끌며 활발하게 도입된 해였지만, 이 혁신적인 기술은 이제 막 시작 단계에 불과합니다. 대다수의 전문가는 2024년에 이 기술이 더욱 높은 수준으로 도약할 것으로 예측합니다.

다양한 언어로 코드를 작성하는 것은 생성형 AI의 능력을 보여주는 초기 사례 중 하나였기에, 최근 설문조사에서 개발 팀의 최대 93%가 워크플로우의 일부로 AI 도구를 사용하고 있다는 결과가 나온 것은 놀라운 일이 아닙니다. 하지만 최근 들어 이러한 팀들은 AI가 생성한 코드에 악용 가능한 취약점이 가득할 수 있다는 부정적인 부작용을 경험하기 시작했습니다.

사실 현재의 AI 코딩 도구는 취약한 코드가 어떤 형태인지 안정적으로 인식하지 못하며, 새로운 코드를 생성할 때 그러한 오류를 피하는 것은 더욱 어렵습니다. 메릴랜드 대학교, UC 버클리, 구글 등이 공동으로 진행한 포괄적인 연구에서 연구진은 4개 그룹의 11개 AI 모델을 대상으로 AI 도구가 생성한 코드의 취약점을 찾아내도록 했습니다. 높은 오탐률과 낮은 취약점 탐지 정확도로 인해 연구진은 AI가 아직 그 역할을 수행할 준비가 되지 않았다고 결론지었습니다. 심지어 연구진이 보안 코드 예제를 대량으로 학습시켜 모델을 조정하려 했음에도 불구하고 여전히 허용하기 어려운 높은 비율로 실패했기에, 앞으로도 이 문제가 해결되지 않을 가능성이 있습니다.

퀘벡 대학교에서 진행한 또 다른 연구에서 연구진은 인기 있는 생성형 AI인 ChatGPT에게 다양한 언어로 21개의 프로그램과 애플리케이션을 생성하도록 요청했습니다. AI가 코딩한 모든 애플리케이션은 의도한 대로 작동했지만, 사이버 보안 관점에서 안전한 것은 단 5개뿐이었습니다. 나머지는 공격자가 이를 배포한 조직을 위협하는 데 사용할 수 있는 위험한 취약점을 안고 있었습니다.

인간과 AI 팀의 결합!

AI 개발을 연구하는 사람들에게는 앞서 언급한 연구 결과나 저를 포함한 다른 이들의 유사한 결과가 그리 놀랍지 않을 것입니다. 생성형 AI는 거대 언어 모델을 기반으로 새로운 콘텐츠를 만드는데, 이는 기본적으로 인간이 축적한 방대한 지식 데이터베이스를 AI가 빠르게 탐색하고 분석하여 새로운 응답과 콘텐츠를 내놓는 방식입니다. 문제는 이 거대 언어 모델에 인간이 만든 모든 것의 장점과 단점이 모두 포함되어 있다는 점입니다.

코드의 경우, 그 결과는 수많은 취약점과 잘못된 관행이 거대 언어 모델에 포함되어 있다는 것입니다. 모든 OWASP 취약점은 물론 수천 가지의 다른 취약점들이 모델 내부에 숨어 있습니다. 만약 인간이 실수로 취약한 애플리케이션을 코딩했다면, 그 코드가 AI가 참조하는 모델에 포함되어 있을 가능성이 큽니다. 그리고 AI가 복잡한 새 애플리케이션을 생성할 때 이를 그대로 사용할 가능성 또한 높습니다.

그렇다면 해결책은 무엇일까요? AI 코딩이 제공하는 속도의 이점을 누리면서도 안전한 코드를 생성할 수 있을까요? 네, 가능합니다. 하지만 인간과 AI가 각자의 강점을 발휘하며 협력할 때만 가능합니다.

AI는 놀라운 능력을 갖추고 있지만, 맥락을 진정으로 이해하지는 못합니다. 예를 들어 온라인 스토어의 인프라를 프로그래밍해달라고 요청할 수는 있지만, AI는 무엇을 판매하려는지, 어떤 방문자에게 어떤 상품을 보여줘야 하는지, 혹은 백엔드 공급망의 복잡한 사정을 알지 못합니다. 이러한 모든 요소를 고려하여 코드를 작성하는 일은 비즈니스 문제를 해결하는 프로그램을 만드는 것을 주 임무로 하는 인간 개발자에게 훨씬 적합합니다. 특히 해당 업계에서 오랫동안 일해온 개발자들은 이러한 문제를 해결하는 데 매우 능숙합니다. 하지만 최고의 프로그래머라도 복잡한 구현의 세부 사항에 대해서는 가끔 확인이 필요할 때가 있습니다.

예를 들어, 최근 스택 오버플로우 개발자 설문조사에 따르면, 응답자의 63%가 매일 최소 30분 이상을 자신이 구축 중인 애플리케이션이나 프로그램의 구현 방법을 찾는 데 소비한다고 답했습니다. 인간이 창의적인 과정에서 단순 반복적이거나 연구가 필요한 과정으로 전환해야 하는 이른바 '인지적 전환'은 매일 생산적인 시간을 크게 갉아먹습니다.

바로 이 지점에서 AI 도구가 가상 조력자로서 최고의 역할을 할 수 있습니다. 인간 개발자가 온라인 스토어와 같은 전체적인 프로그램이나 애플리케이션을 작업하다가 구현의 특정 부분에서 막혔을 때, AI 도구가 도움을 줄 수 있습니다. 예를 들어, 상품 데이터베이스를 공급망 애플리케이션에 연결하는 코드를 작성하는 작업은 AI 도구가 매우 빠르게 처리할 수 있으며, 이때 AI가 프로젝트의 전체 맥락이나 목표를 이해할 필요는 없습니다. 또한 코드의 핵심적이고 기본적인 부분만 작업하도록 요청한다면 취약점이 포함될 가능성도 훨씬 낮아집니다.

신뢰하되, 검증하라

인간 개발자와 AI 도구를 연결하여 각자의 강점을 발휘하게 하는 것은 코딩 속도를 높이는 동시에 AI로 인한 코드 취약점의 위험을 제한할 수 있는 보람 있는 전략입니다. AI에게 코드 생성 과정의 작은 요소들을 맡기는 것은 위험이 적지만, 여전히 취약점이 발생할 수 있습니다.

그렇기 때문에 개발자가 보안 교육을 받는 것이 매우 중요합니다. 인간이 프로젝트의 전체 맥락과 보안 모범 사례를 모두 이해하고 있다면, AI가 작성한 코드의 일부가 올바른지, 취약점이나 비즈니스 로직 결함과 같은 문제가 없는지 빠르게 검증할 수 있습니다. 인간 개발자가 AI가 생성한 코드 부분을 직접 찾아볼 필요 없이 보안 여부만 확인하고 결함을 수정하면 되므로 많은 시간을 절약할 수 있습니다.

AI 도구는 인상적이며 개발 속도를 크게 높여줄 수 있습니다. 하지만 AI가 안전한 코드를 안정적으로 작성할 수는 없으며, 최근 연구에 따르면 앞으로도 그 목표를 달성하지 못할 가능성이 있습니다. 그럼에도 불구하고 숙련되고 보안 의식을 갖춘 개발자와 함께한다면 소프트웨어 개발에서 여전히 매우 유용하게 활용될 수 있습니다.