바이브코딩 산출물과 보안성 검토 지침 소문

19일 오전 11시 54분, 공공AX 네트워크에서 공공 부문에서 일하는 한 참가자가 질문을 올렸다. 국정원이 직원들에게 바이브코딩, 곧 AI에 지시해 코드를 짜게 하는 방식으로 만든 소프트웨어를 쓰지 말라는 지침을 내린 적이 있느냐는 것이다.

국정원에서 직원들 바이브코딩으로 만든 소프트웨어 쓰지말라고 지침이 내려온 적 있었나요??

질문자는 뉴스 링크 두 개를 올리며 이런 뉴스들이 나오는데 무엇이 맞는지 모르겠다고 했다. 질문자는 중앙정부는 공무원의 AI 바이브코딩을 독려하는데 국정원은 쓰지 말라고 한다고 해서 무엇이 사실인지 모르겠다고 했다. 링크 속 기사의 내용은 대화에서 설명되지 않았고, 이 기사도 그 내용은 확인하지 못했다.

오정보로 보인다는 의견

이어 부정하는 답이 나왔다. 한 참가자는 오정보 같은 소문이라고 하면서, 바이브코딩으로 만든 산출물이라도 보안성 검토를 받아야 한다는 정도로 알고 있으면 되지 않겠느냐고 했다.

뭔가 오정보, 사실과 다르지 않은 소문인듯 합니다.

인용문의 표기는 원문 그대로이며, 앞뒤 문맥상 사실과 다른 소문이라는 뜻으로 읽힌다.

같은 참가자는 곧 정정했다. 말한 보안성 검토는 국정원의 것이 아니라 기관이 속한 쪽의 보안성 검토라는 것이다(어느 기관 단위인지는 대화에 적히지 않았다). 이어 국가기관이 바이브코딩을 제한한다는 보도나 자료는 보지 못했다고 덧붙였다. 보지 못했다는 말은 없다는 뜻이 아니라, 본인이 접하지 못했다는 뜻이다.

다른 참가자도 비슷한 경험을 전했다. 국정원이 하지 말라고 하는 지시는 잘 내려오지 않으며, 원문 표기로 딥시트 때 정도였다는 것이다(딥시크를 가리키는 오타로 보인다). 평소에는 국정원이 가진 기준을 안내해 줄 뿐이라고 했다.

국정원에서도 뭐 하지 마라 하고 하는거 잘 안내려옵니다 딥시트때 정도..

이 의견들은 각자의 경험과 기억에 의한 것이어서, 지침이 없었다는 증명으로 읽기는 어렵다.

막는 쪽이 낫다는 입장

모두가 같은 판단은 아니었다. 한 참가자는 국정원의 입장이 맞다고 보았다. 무리해서 사고가 나느니 막는 편이 낫고, 사고를 감당하는 것이 문제라는 이유였다. 국정원이 안보기관이어서 막는 쪽이 아무래도 맞다고도 했다.

사고 감당이 문제니

이 참가자는 지침이 있다는 전제로 말한 것으로도 읽히나, 실제로 있었다고 말했는지는 확인되지 않는다. 같은 시각 다른 참가자는 기준을 만드는 속도보다 기술이 발전하는 속도가 더 빨라 어려운 문제라고 했다.

쟁점은 금지가 아니라 검토 대상

오후로 가며 이야기는 금지 여부에서 보안성 검토의 대상이 무엇이냐로 옮겨 갔다. 한 참가자는 보안성 검토를 보내도 회신이 1년 뒤에 온다는 경험을 농담처럼 전했다. 또 다른 참가자는 보안성 검토 대상에는 명확한 기준이 있어서 바이브코딩이냐 외주냐 직접 만들었느냐는 다른 이야기라고 선을 그었다.

질문자가 사소한 자동화 도구 하나하나를 검토받아야 하느냐고 걱정하자, 한 참가자는 대상 기준이 산출물과 사용 대상에 따라 다를 것이라고 했고 소속 기관의 보안 담당 부서에 문의하는 것이 맞다고 했다. 대화 후반에는 소스 코드에 백도어나 유출 경로가 있다면 당연히 검토 대상이라는 의견도 나왔다.

당연히 보안성검토 대상 입니다

이 말은 바이브코딩 여부와 무관한 기준을 설명한 것이다. 같은 참가자는 바이브코딩으로 정의되지 않는다고 했다. 즉 앞의 기준 이야기와 모순되지 않고, 같은 기준을 다른 각도에서 말한 것으로 읽힌다.

이 대화가 시사하는 것

이 대화는 소문의 진위를 확정하지 못한 채 끝났다. 질문자는 사실이 아닌 소문이었나 보다며 그쪽으로 기울었으나 확인된 것은 아니다. 질문자가 본 뉴스의 내용은 대화에 없고, 부정하는 쪽의 근거도 본인의 경험과 보지 못했다는 말이다. 다만 질문의 무게 중심이 지침의 유무에서 바이브코딩 산출물이 어떤 기준으로 보안성 검토를 받느냐로 옮겨 간 점은 뚜렷하다.

또한 막는 쪽이 낫다는 입장과 기준대로 하면 된다는 입장이 한 방에 공존했다. 참가자 개인의 의견이어서 공공기관 전체의 방침으로 일반화할 수 없다. 질문자가 국정원에 문의해 보는 것이 가장 정확하겠느냐고 묻자, 다른 참가자가 소속 기관의 보안 담당 부서에 문의하는 것이 맞다고 답한 것처럼, 확인의 창구는 공식 경로라는 점이 대화에서 분명해졌다.