AI로 구축된 웹사이트 312개의 보안 실태 분석 결과

커뮤니티 반응

작성자의 분석 데이터에 놀라움을 표하며, AI 도구 중 Claude Code가 상대적으로 더 나은 보안 코드를 생성한다는 의견이 제시되는 등 도구별 보안 성능에 대한 논의가 이어지고 있습니다.

주요 논점

01중립다수

AI 도구는 보안 전문가가 아니므로 개발자가 생성된 코드의 보안성을 직접 검증해야 한다.

합의점 vs 논쟁점

합의점

AI가 생성한 코드는 보안 헤더나 미들웨어 설정 등 '보이지 않는' 인프라 보안 측면에서 매우 취약하다.
운영 환경 배포 전 소스 맵 제거 및 쿠키 보안 플래그 설정은 필수적인 절차이다.

논쟁점

특정 AI 도구(예: Claude Code)가 타 도구에 비해 실제로 유의미하게 더 안전한 코드를 생성하는지에 대한 실증적 비교가 필요하다.

실용적 조언

배포 전 'curl -I' 명령어로 HSTS, CSP, X-Frame-Options 헤더가 포함되어 있는지 확인하십시오.
인증 관련 쿠키 설정에서 HttpOnly와 Secure 속성이 true로 설정되어 있는지 점검하십시오.
API 응답 헤더의 Access-Control-Allow-Origin을 와일드카드(*) 대신 실제 도메인으로 제한하십시오.

섹션별 상세

AI로 구축된 앱의 평균 보안 점수가 100점 만점에 48점으로 나타났다. 이는 정적 HTML 페이지의 평균인 75점보다 27점이나 낮은 수치이며, AI가 기능 구현에는 최적화되어 있으나 보안 설정은 기본적으로 누락시킨다는 점을 시사한다. 분석 대상의 89%에서 CSP 헤더가 아예 존재하지 않았으며, 이는 모델이 명시적인 요청 없이는 보안 구성을 추가하지 않음을 보여준다.

인증 기능이 있는 사이트의 71%에서 쿠키에 HttpOnly 또는 Secure 플래그가 설정되지 않았다. 이로 인해 세션 쿠키가 자바스크립트에서 읽히거나 암호화되지 않은 HTTP를 통해 전송될 위험이 확인됐다. 또한 API 엔드포인트의 34%가 CORS를 와일드카드(*)로 설정하여 모든 출처의 접근을 허용하고 있는 심각한 설정 오류가 발견됐다.

사용자 계정이 있는 앱의 41%에서 API 경로에 인증 미들웨어가 누락된 것으로 조사됐다. 프론트엔드에서는 버튼을 숨겨 접근을 제한하는 것처럼 보이지만, 실제 백엔드 엔드포인트는 인증 없이도 호출 가능한 상태로 방치되어 있었다. 더불어 67%의 사이트가 운영 환경에 소스 맵을 배포하여 원본 코드와 주석이 외부에 노출되는 문제를 안고 있었다.

bash

curl -I https://yoursite.com

웹사이트의 HTTP 응답 헤더를 확인하여 보안 설정 누락 여부를 점검하는 명령어

작성자는 AI 도구가 '기능 작동'과 '권한 관리'를 별개의 문제로 처리하지 못하고 하나로 뭉뚱그려 처리하는 경향이 있다고 지적했다. 이를 해결하기 위해 curl 명령어를 통한 헤더 확인, 개발자 도구를 이용한 쿠키 플래그 점검, API 응답의 Access-Control-Allow-Origin 확인 등 60초 내에 수행 가능한 자가 진단법을 제시하며 즉각적인 수정을 권고했다.

용어 해설

콘텐츠 보안 정책(Content Security Policy): — 웹 페이지에서 로드할 수 있는 리소스의 출처를 제한하여 교차 사이트 스크립팅(XSS) 및 데이터 주입 공격을 방지하는 보안 계층이다. 브라우저가 신뢰할 수 있는 소스만 실행하도록 강제함으로써 악성 스크립트 실행을 차단하는 핵심적인 역할을 한다.
교차 출처 리소스 공유(CORS): — 추가 HTTP 헤더를 사용하여 한 출처에서 실행 중인 웹 애플리케이션이 다른 출처의 선택한 자원에 접근할 수 있는 권한을 부여하도록 브라우저에 알려주는 메커니즘이다. 와일드카드(*) 설정 시 보안 위험이 발생할 수 있다.
HttpOnly 쿠키(HttpOnly Cookie): — 자바스크립트의 document.cookie API를 통해 쿠키에 접근하는 것을 방지하는 속성이다. 세션 쿠키에 이 설정을 적용하면 XSS 공격을 통한 세션 하이재킹 위험을 크게 낮출 수 있어 인증 보안의 필수 요소로 꼽힌다.
소스 맵(Source Map): — 압축되거나 변형된 코드를 원래의 소스 코드로 매핑해주는 파일이다. 디버깅에는 유용하지만 운영 환경에 노출될 경우 공격자가 원본 로직과 주석을 쉽게 파악할 수 있게 되어 보안 취약점이 될 수 있다.

언급된 도구

zeriflow추천

보안 취약점 정량화 및 분석 도구

Claude Code추천

AI 기반 코딩 에이전트