Replit의 AI 생성 코드 보안 전략 [백서]

AI가 생성한 코드는 소프트웨어 구축 방식을 바꾸고 있지만, 보안 측면에서는 새로운 과제를 던지고 있다. 특히 AI 모델이 스스로의 출력물을 검사하는 방식이 보안상 충분한지에 대한 의문이 제기된다.

Replit은 React 애플리케이션을 대상으로 한 실험을 통해 AI 전용 보안 스캔과 정적 분석 및 의존성 스캔을 결합한 하이브리드 방식을 비교 연구했다. 실험 결과, 동일한 기능의 코드라도 구문이나 프롬프트 구성에 따라 보안 평가 결과가 달라지는 비결정론적 특성이 확인되었다.

주요 연구 결과는 다음과 같다:

• AI 전용 스캔의 비결정론적 특성: 변수 명칭이나 구문 변화에 따라 동일한 취약점도 다르게 분류됨
• 프롬프트 민감도 문제: 보안 이슈를 명시적으로 언급해야 탐지율이 높아져 사용자 책임이 가중됨
• 의존성 취약점 탐지 불가: 지속적인 취약점 피드가 없으면 AI는 특정 버전의 CVE를 식별하지 못함
• 정적 분석의 일관성: 규칙 기반 스캐너는 모든 코드 변형에 대해 결정론적이고 반복 가능한 탐지를 제공함

결론적으로 LLM은 비즈니스 로직이나 의도 수준의 문제를 파악하는 데 유용하지만, 신뢰할 수 있는 보안 기준을 확립하기 위해서는 정적 분석과 의존성 스캔이 반드시 병행되어야 한다.