AI 코딩 도구로 개발한 앱에서 흔히 발생하는 보안 실수와 해결책

• •구독 정보나 권한 데이터는 사용자가 직접 수정할 수 있는 테이블과 반드시 분리하여 저장해야 함
• •AI 코딩 도구에게 RLS 정책 검토를 요청할 때 구체적인 우회 시나리오를 제시해야 오류를 잡아낼 수 있음
• •Supabase나 Firebase의 기본 보안 규칙이 '테스트 모드'로 설정되어 모든 접근이 허용된 상태인지 확인이 필요함

RLS는 데이터베이스 수준에서 행 단위로 접근 권한을 제어하는 보안 메커니즘이다. 백엔드 서버 없이 프론트엔드에서 직접 DB에 접근하는 아키텍처에서 필수적인 방어 수단이다.

• •사용자별 생성 횟수를 DB 테이블에 기록하고 백엔드 로직에서 요청 승인 전 이를 검증함
• •IP 기반 제한을 추가하여 계정을 대량 생성하여 공격하는 시나리오에 대비함
• •AI 기능이 없는 일반 서비스라도 DB 읽기/쓰기 비용 절감을 위해 속도 제한 적용이 권장됨

속도 제한은 특정 시간 동안 허용되는 요청의 수를 제한하는 기법이다. 서비스 가용성을 유지하고 비용을 통제하는 데 핵심적인 역할을 한다.

• •Stripe 결제 로직이나 이메일 발송(SendGrid) 등은 반드시 서버 측에서 처리해야 함
• •S3 버킷 접근 시 하드코딩된 자격 증명 대신 서버에서 생성한 서명된 URL(Signed URL)을 사용함
• •프론트엔드 .env 파일에 저장된 정보는 브라우저 개발자 도구에서 모두 확인 가능하다는 점을 명심해야 함

환경 변수는 설정 정보를 코드와 분리하기 위한 도구일 뿐, 프론트엔드에서 사용될 때는 보안 수단이 될 수 없음을 인지해야 한다.

• •API 키 유출로 인한 AWS SageMaker 학습 비용 3만 달러 청구 사례와 같은 실제 위험이 존재함
• •예산의 50%, 80%, 100% 도달 시 이메일이나 슬랙으로 알림을 받도록 다중 설정함
• •Firebase 등 자동 중단 기능을 직접 제공하지 않는 경우 결제 API를 연동한 커스텀 중단 로직 구현이 필요함

많은 클라우드 서비스가 기본적으로 예산 제한을 강제하지 않으므로 개발자가 직접 설정 페이지를 찾아 구성해야 한다.

• •AI는 지치지 않으므로 수동 코딩 시 간과하기 쉬운 보안 취약점을 찾아내는 데 유리함
• •Claude Code나 Cursor에 MCP(Model Context Protocol)를 연결하여 실제 인프라 설정을 직접 감사하게 함
• •보안은 도구의 문제가 아니라 개발자의 의도와 검증 프로세스의 문제임

Vibe Coding은 엄격한 설계보다는 AI와의 상호작용을 통해 빠르게 기능을 구현해 나가는 개발 방식을 일컫는 신조어다.