Cursor, Lovable, Bolt.new로 생성된 31개 저장소의 AI 코드 패턴 정적 분석 결과

실용적 조언

AI가 생성한 중첩된 if/else 문은 가독성을 위해 조기 반환(Early Return) 구조로 리팩터링하라.
프로덕션 배포 전 반드시 정적 분석 도구를 실행하여 innerHTML 사용이나 보안 취약점을 점검하라.
200라인이 넘는 AI 생성 함수는 기능별로 분리하여 모듈화하라.

섹션별 상세

AI 생성 코드의 가장 흔한 결함으로 전체 발견 사항의 46%를 차지하는 깊은 중첩(Deep Nesting) 문제가 제기됐다. AI 모델은 조기 반환(Early Return) 패턴을 사용하기보다 4~5단계에 걸친 if/else 블록을 생성하는 경향을 보였다. 이러한 구조는 코드의 복잡도를 높이고 가독성을 심각하게 저해하는 요소로 작용한다.

보안 측면에서 다수의 저장소에서 innerHTML 사용을 통한 XSS(Cross-Site Scripting) 취약점이 발견됐다. 실제로 분석 과정에서 발견된 취약점 중 하나는 RocketChat 저장소의 보안 수정 사항으로 채택되어 당일 병합되기도 했다. 이는 AI가 생성한 코드를 검토 없이 프로덕션에 적용할 때 발생할 수 있는 실질적인 위험성을 시사한다.

도구별 분석 결과에서 Cursor로 생성된 프로젝트가 파일당 6.36개로 가장 많은 이슈를 기록했다. 이는 Cursor 자체의 성능 문제라기보다 사용자에게 가장 많은 제어권을 부여하기 때문에 발생하는 현상으로 분석됐다. 반면 Lovable(2.56개)과 Bolt.new(1.55개)는 사용자 자유도를 제한함으로써 상대적으로 균일하고 이슈가 적은 코드를 출력하는 경향을 보였다.

용어 해설

정적 분석(Static Analysis): — 프로그램을 실제로 실행하지 않고 소스 코드 자체를 분석하여 잠재적인 오류, 보안 취약점, 코딩 표준 위반 등을 찾아내는 기법이다. AI가 생성한 코드의 구조적 결함이나 보안 위협을 사전에 파악하는 데 중요한 역할을 한다.
깊은 중첩(Deep Nesting): — if/else 문이나 루프 내부에 또 다른 조건문이 여러 단계로 겹쳐져 있는 코드 구조를 의미한다. 코드의 가독성을 떨어뜨리고 유지보수를 어렵게 만들며, AI 모델이 논리적 흐름을 단순하게 처리하려 할 때 자주 발생하는 패턴이다.
XSS 벡터(XSS Vector): — 크로스 사이트 스크립팅(Cross-Site Scripting) 공격이 가능한 경로를 의미하며, 주로 innerHTML 등을 통해 검증되지 않은 사용자 입력을 렌더링할 때 발생한다. AI가 보안 고려 없이 코드를 생성할 경우 심각한 보안 취약점으로 이어질 수 있다.
갓 함수(God Function): — 하나의 함수가 너무 많은 책임과 기능을 가지고 있어 지나치게 길고 복잡해진 코드를 뜻한다. 모듈화가 부족할 때 나타나며, AI가 전체적인 아키텍처 설계보다 당장의 기능 구현에 집중할 때 흔히 발생한다.

언급된 도구

Cursor중립

AI 기반 코드 에디터

Lovable추천

AI 웹 앱 빌더

Bolt.new추천

브라우저 기반 AI 개발 샌드박스