Secure Code Warrior 연구 결과, AI 생성 코드는 코드베이스당 평균 15개의 취약점을 포함하는 것으로 나타남

새로운 SCW AI Trust Index에 따르면 AI가 생성한 코드의 보안 위험은 무작위가 아니라 모델과 프레임워크에 따라 예측 가능하며, 보안 리더는 이를 통해 AI 지원 개발을 안전하게 확장할 수 있는 데이터를 확보할 수 있습니다

‍시드니/보스턴/런던 – 2026년 7월 21일 – Secure Code Warrior는 AI 소프트웨어 거버넌스 및 개발자 보안 역량 강화 분야의 선두 기업으로서, 오늘 SCW AI Trust Index를 발표했습니다. 이는 새로운 모델이 등장할 때마다 함께 발전하는 AI 코딩 보안을 위한 실시간 벤치마크로, 기업이 AI 생성 코드로 인해 발생하는 보안 위험을 이해하고 관리하도록 돕습니다. 호주 RMIT 대학교와 공동 개발한 방법론을 기반으로 Secure Code Warrior가 확장한 이 연구는 주요 LLM이 얼마나 자주 보안에 취약한 코드를 생성하는지에 대한 포괄적인 벤치마크를 제시하며, AI 지원 개발을 확장하는 모든 기업에 중요한 시사점을 제공합니다.

OpenAI, Anthropic, Google, Alibaba 등 16개 최첨단 모델이 생성한 1,760개의 전체 코드베이스를 평가한 결과, AI 생성 코드에는 코드베이스당 평균 15개의 확인된 취약점이 포함되어 있으며, 그중 4.3개는 "심각"한 수준으로 분류되었습니다.

개발자들이 코드 생성을 최첨단 LLM에 계속 위임함에 따라, 보안 리더는 개발자가 어떤 보안 위험을 떠안게 되는지, 그리고 이러한 위험이 모델, 프레임워크 또는 이 둘의 상호작용에 따라 달라지는지 파악하는 것이 중요합니다. SCW AI Trust Index는 일회성 스냅샷이 아닌, 새로운 모델이 등장함에 따라 진화하는 실시간 벤치마크를 제공하여 AI 생성 코드 보안에 대한 실증적 측정을 가능하게 합니다.

오늘부터 기업은 SCW AI Trust Index를 활용하여 다음과 같은 방법으로 AI 기반 소프트웨어 개발의 위험을 이해하고 완화할 수 있습니다.

• 실제 보안 데이터를 사용하여 AI 코딩 모델 비교
• 반복되는 취약점 패턴 식별
• 실증적 데이터로 AI 생성 코딩 위험 정량화
  ‍

Secure Code Warrior의 공동 창립자이자 CEO인 Pieter Danhieux는 "우리가 테스트한 모든 AI 모델은 예측 가능하고 반복적인 보안 결함 및 약점 패턴을 보입니다."라고 말했습니다. "개발자들 또한 보안 점수 때문에 선호하는 모델을 포기하지 않는다는 점에서 예측 가능합니다. SCW AI Trust Index는 CISO와 보안 리더가 이미 사용 중인 모델을 관리할 수 있도록 특별히 설계되었습니다. 특정 '승자'는 없지만, 이 데이터는 내재된 보안 결함을 고려하여 AI 도구를 진정으로 안전하게 관리하고, 현대화된 보안 프로그램 내에서 적절한 가드레일과 개발자 학습 경로를 구현하는 데 필요한 핵심 통찰력을 제공합니다. AI 생성 코드는 우리가 항상 인간이 작성한 코드에 적용해 온 것과 동일한 수준의 검토가 필요하며, 이제 우리는 정확히 어디를 살펴봐야 할지 알 수 있는 데이터를 확보하게 되었습니다."

Secure Code Warrior의 연구에 따르면 AI 생성 코드의 보안 위험은 무작위가 아니며, 측정 및 예측이 가능하고 AI 모델, 프레임워크, 취약점 유형 전반에 걸쳐 일관된 패턴으로 집중되어 있습니다. 주요 결과는 다음과 같습니다.

• AI 생성 취약점은 무작위 실패가 아닌 예측 가능한 패턴을 따름
  
  • Secure Code Warrior는 1,760개의 AI 생성 코드베이스에서 86개의 고유한 CWE를 식별했으며, 가장 흔한 약점은 로깅 실패, 주입 취약점, 보안 설계 미흡, 접근 제어 결함에 집중되어 있었습니다. 가장 널리 퍼진 CWE는 CWE-532(로그 파일에 민감한 정보 삽입)로, 8,543건의 진양성(true positive)이 발견되었습니다. 이러한 반복적인 패턴은 AI 생성 보안 위험이 측정 가능하고 반복적이며 예측 가능하다는 것을 보여줍니다.
• 모든 AI 모델은 고유한 보안 지문을 가짐
  
  • 평가된 모든 프레임워크에서 모델들은 무작위 실패가 아닌 반복적인 취약점 패턴을 일관되게 보였습니다. SCW AI Trust Index는 각 모델이 OWASP 취약점 범주의 반복적인 조합을 생성한다는 것을 보여주며, 이를 통해 조직은 보안 약점이 발생할 가능성이 가장 높은 곳을 예측할 수 있습니다.
• 가장 안전한 코드를 일관되게 생성하는 단일 AI 모델은 없음
  
  • 모델 성능은 사용하는 프레임워크에 따라 크게 달라집니다. Java Enterprise API에서는 GPT-5.1이, Java Spring에서는 Claude Sonnet 4.5가, Python Django에서는 Claude Opus 4.8이, C# (.NET)에서는 GPT-5.5가, C 언어에서는 Claude Fable 5가 가장 우수한 성능을 보였습니다. 보안 결과는 모델 과 개발 환경 모두에 따라 달라집니다.
• 보안 결과는 모델 비용과 무관함
  
  • 연구 결과 API 비용과 안전한 코딩 성능 사이에는 일관된 관계가 없는 것으로 나타났습니다. 예를 들어, GPT-5.1은 실행당 $5.60의 비용으로 가장 높은 Trust Index 점수를 기록한 반면, 훨씬 더 비싼 모델들은 더 낮은 보안 결과를 보였습니다. 기업은 가격이 아닌 측정 가능한 보안 성능을 기준으로 AI 모델을 평가해야 합니다.

SCW AI Trust Index는 기업이 AI 생성 코드의 동작 방식을 이해하고, 위험이 유입되는 지점을 식별하며, 개발자가 처음부터 더 안전한 코드를 작성할 수 있도록 지원함으로써 Secure Code Warrior의 사명을 확장합니다. AI 가시성, 거버넌스, 적응형 개발자 학습을 결합하여 Secure Code Warrior는 기업이 보안을 희생하지 않으면서 AI 지원 소프트웨어 개발을 자신 있게 확장하도록 돕습니다.
‍
전체 연구 결과를 보려면 다음을 방문하십시오: https://www.securecodewarrior.com/product/ai-trust-index

‍‍Secure Code Warrior 소개
‍Secure Code Warrior는 AI 소프트웨어 거버넌스 및 개발자 보안 역량 강화 분야의 선두 기업으로, 기업이 SDLC 전반에서 AI 기반 소프트웨어 개발을 제어할 수 있도록 지원합니다. 10년간 축적된 개발자 보안 전문 지식을 바탕으로 AI 가시성, 정책 시행, 맞춤형 학습을 제공하여 취약점을 예방하고 프로덕션 이전에 소프트웨어 품질을 강화합니다.

문의
‍Andrea Brusig
‍andrea.brusig@w2comm.com