보안 이슈 뒤 바이브코딩을 막는 분위기

어제 밤 열 시 반을 넘긴 무렵, 공공AX 네트워크에 한 참가자가 낮 회의에서도 했던 말이라며 글을 올렸다. 보안 이슈가 연달아 터지는 가운데 바이브코딩을 두고 분위기가 한쪽으로 기울고 있다는 이야기였다. 바이브코딩은 기사 설명으로 AI에게 말로 지시해 코드를 만드는 일을 가리킨다.

바이브 코딩을 안전하게 하고 검수를 안전하게 할 방법을 강구해야 하는데, 점점 하지 말라는 분위기?

같은 참가자는 검증되지 않은 자동화 도구와 확장 프로그램은 쓰지 않는 편이 좋겠다고 덧붙였고, 보안 이슈가 빨리 지나가기를 바란다고 적었다. 이어 이런 말도 했다.

근데 이거 막상 바이브 코딩 때문에 터진 문제는 아닌 게... 대다수라 ㅎㅎ

막는다는 전망과 막는 것이 답이 아니라는 말

이 글을 본 다른 참가자는 자신이 6월에 예견했다며 회사에서 앞서 말한 보안 이슈로 다 막을 것 같다고 했고, 에러(오류)와 보안 가운데 보안이 먼저 터졌다고 말했다. 그는 해법으로 사내 보안 솔루션을 구축하기 전에는 개인의 AI 사용을 금지하고, 구축한 뒤에는 개인이 만든 도구를 규정에 맞춰 쓰게 하는 순서를 적었다.

또 다른 참가자는 결이 달랐다. 기관 차원에서 배포 통로를 한곳으로 모아 감시하고 보안 점검을 마친 것만 배포하게 하는 곳도 있다고 전하면서, 개발 언어를 통제할 수 있는 것으로 제한하는 방법도 거론했다.

막아!가 답은 아닌것은 확실

처음 글을 올린 참가자는 여기에 동의하면서도 현실을 이렇게 털어놓았다.

개발을 안전하게 할 장소도 안전하게 반입할 방법도 안전하게 검증하고 쓸 방법도 전무 ㅋㅋ

또 한 참가자는 내부망에 넣어야 업무 환경이 나아지는데 넣으면 사고가 난다며 못 넣게 한다고 했다. 이 참가자는 밤 열한 시 무렵 코드 한 줄 바꾸면 보안성 검토를 새로 받는다는 식의, 말을 맺지 않은 반응도 남겼다. 이는 완결된 주장이라기보다 한탄에 가까운 끊긴 한 줄이다.

사무실 도구 질문과 지침 공백

자정 가까운 시각에 한 참가자가 물었다.

다들 보안 때문에 사무실에서는 gpt 나 클로드 웹 버젼만 사용하시나요?

처음 글을 올린 참가자는 거의 막는 분위기라고 답했고, 웹 버전을 쓰면서 VS Code 편집기에서는 사람이 직접 코드를 옮겨 붙이는 방식으로 되돌아갔다고 했다. VS Code는 괜찮은지, 확장 프로그램을 붙이지 않으면 되는지 묻는 말에는 이렇게 답했다.

지금 명학한 지침이 없습니다.....

앞서 내부망 이야기를 한 참가자는 자정이 지나 VS Code 설치 자체를 막는 곳도 있다며 기준이 없다고 거들었다. 외부망에서 클코, 곧 클로드 코드로 보이는 도구를 돌려도 괜찮겠느냐는 물음에는 중요 시스템과 닿는 곳이 없다면 괜찮을 것 같다는 말이 나왔고, 민감한 정보를 빼고 공개된 자료만 쓰는 방법이 거론됐다. 다만 이 답들은 모두 각자의 짐작이고, 어느 기관의 공식 기준이라는 언급은 대화에 없었다.

읽을 거리

이 대화에서 확인되는 것은 규정의 내용이 아니라 규정이 없다는 체감이다. 회사가 다 막을 것 같다는 전망, 순서를 정해 풀자는 제안, 막는 것은 답이 아니라는 말, 일단 몸을 사리자는 말이 한 방에서 나란히 나왔다. 그 곁에서 안전한 개발 장소와 반입, 검증 절차가 없다는 토로가 되풀이됐고, 막는 분위기라는 전언도 나왔다. 다만 이는 이 방 참가자들의 전언과 짐작이며, 실제 기관들의 지침 현황을 보여 주는 자료는 아니다.