바이브코딩 HTML 대시보드와 보안성 검토

저녁 5시 38분, 공공AX에 한 기관 담당자의 질문이 올라왔다. 바이브코딩은 AI에게 맡겨 코드를 짜는 방식을 가리킨다. 내부망에서 쓰는 HTML이나 HTML에 자바스크립트를 더한 파일을 운용하며 보안성 검토를 받는 기관이 있느냐는 것이었다. 바이브코딩으로 간단한 대시보드 파일을 만들어 쓰려는데, 이것도 정보시스템이라 보안성 검토를 받으라는 말을 들었다고 했다.

어떻게 뭘 받아야하는건지 감이 안 잡히네요

이 화제에는 9명이 30건을 주고받았다. 이날 공공AX에서 가장 활발한 논의였다.

로컬 문서일 뿐이라는 시각

처음 나온 의견은 설득의 논리였다. 웹서버에 올리지 않고 로컬에서만 읽는 파일이라면 hwp(한글 문서 파일) 문서와 크게 다르지 않다고 설득해 보면 어떻겠느냐는 것이다. 모델이 만들어 준 HTML은 애초에 로컬에서 읽으라고 준 것일 테니 그 사용 방식이 판단 기준이 되어야 한다는 취지다.

이 논리의 힘은 익숙한 비교에 있다. 이미 업무에서 오가는 문서 파일과 같은 범주로 묶으면 검토 부담이 줄어든다.

악성코드 가능성이라는 회색지대

반대편의 시각도 곧 나왔다. HTML에 악성코드가 심어질 가능성은 있다는 지적이다.

Html에 악성코드가 심어질 가능성은 잇는데.. 좀 회색지대같아요

hwp와 같다는 비교에도 한계가 있다는 의미로 읽힌다. 자바스크립트가 들어간 HTML은 문서처럼 보이지만 실행되는 코드이기 때문이다. 한 기관은 HTML까지는 보안성 검토 대상으로 보지 않는다고 했지만, 통과가 안 된다는 반대 경험도 나와 기관마다 기준이 다름이 드러났다.

대상이 아닐 것이라는 정리

이후 정리하는 답이 나왔다. 한 기관 담당자는 자기 기관에서는 관련 논의가 잘 되고 있다고 전했다. 그리고 이렇게 짚었다.

국정원 보안성검토 쪽은 애초 대상도 아닐거에요 자체 보안성평가면 모를까

더해서 행안부와 관련 기관이 2025년 12월에 발간한 공공부문 AI 도입 활용 사례집에 HTML과 자바스크립트 기반 사례가 나온다는 안내가 있었다. 질문자에게는 설득할 때 쓸 수 있는 자료가 생긴 셈이다.

읽을 거리

이 대화에서 눈에 띄는 것은 같은 파일을 두고 기관마다 다른 기준을 말했다는 점이다. 한 곳은 검토 대상으로 보지 않고 한 곳은 통과가 안 되며, 한 곳은 국정원 검토 대상조차 아니라고 했다. 바이브코딩으로 누구나 작은 도구를 만들 수 있게 되자, 정보시스템의 범위와 검토 수준을 정한 기준이 현장에서 해석에 맡겨지고 있다는 점을 시사한다.

다만 이는 몇몇 기관 담당자의 경험이며 법령이나 지침의 공식 해석은 아니다. 대화에서도 국정원 대상이 아니라는 말은 그럴 것이라는 추정으로 제시됐다. 실제 판단은 각 기관의 보안 담당 부서와 지침을 확인해야 한다.