호이가 화면을 준비하고 있어요…
호이가 화면을 준비하고 있어요…
바이브 코더를 위한 보안 친구
호이가 약한 곳을 찾아 쉽게 설명해드리고,
튼튼하게 고친 뒤에 잘 막혔는지 한 번 더 확인해요.
어려운 보안 용어 대신, 어떤 일이 생길 수 있고 어디를 고치면 되는지 먼저 알려드려요.
호이가 무엇을 보고 그렇게 판단했는지, 어느 파일의 몇 번째 줄인지 함께 보여드려요.
고쳤다면 끝이 아니라, 정말 잘 막혔는지 호이가 같은 방식으로 한 번 더 살펴봐요.
배포 전 보안 점검
AI와 함께 빠르게 만든 결과물은 잘 돌아가는 것처럼 보여도, 눈에 띄지 않는 곳에 보안 구멍이 남아 있을 수 있어요. 호이는 서비스를 공유하거나 배포하기 전에, 사용해 줄 분들의 안전을 위해 코드와 설정을 미리 살펴보고 무엇을 어떻게 고치면 좋을지 알려드려요.
파일을 올리는 것부터 다시 확인하는 것까지, 일곱 단계로 진행돼요.
1단계
프로젝트를 zip 파일로 올리거나 코드를 붙여 넣으면, 소스 코드와 설정 파일(환경변수 파일, 프레임워크 설정, 사용 중인 라이브러리 목록 등)을 읽어서 어떤 구조로 만들어졌는지 먼저 파악해요. 이 단계에서는 올린 코드를 실행하지 않고, 파일을 읽기만 해요.
2단계
OWASP, MITRE처럼 신뢰받는 기관이 공개한 보안 가이드라인을 바탕으로 만든 점검 규칙을 코드와 설정에 적용해요. 저희가 임의로 정한 기준이 아니에요. 어떤 기준에 근거했는지 출처를 함께 남겨 둬요. 아래를 펼치면 기준 목록과 원문 링크를 볼 수 있어요.
사용한 기준은 모두 공개된 문서예요. 아래 링크에서 직접 확인해 보실 수 있어요.
점검 규칙에는 CWE-639 같은 근거 번호가 연결돼 있어요. 왜 문제로 봤는지 원문을 따라가며 확인할 수 있어요.
보안 기준은 시간이 지나며 바뀌어요. 어느 시점의 기준을 썼는지 버전을 남겨 둬요.
MITRE
CWE (Common Weakness Enumeration)(새 창에서 열려요)
소프트웨어에서 자주 생기는 결함 유형을 번호로 정리한 목록이에요.
규칙이 찾는 문제가 어떤 종류의 결함인지 나타내는 1차 근거로 써요.
점검 항목 87개에서 인용 · 근거 번호 73종
MITRE · 3.9
CAPEC (Common Attack Pattern Enumeration and Classification)(새 창에서 열려요)
결함을 노리는 공격 방식을 정리한 목록이에요.
그 결함이 실제로 어떻게 악용될 수 있는지 설명할 때 써요.
점검 항목 45개에서 인용 · 근거 번호 48종
OWASP · 2025
웹 서비스에서 가장 흔하고 위험한 보안 문제 10가지를 정리한 문서예요.
각 규칙이 어떤 위험 분야에 속하는지 묶어서 보여 줄 때 써요.
점검 항목 42개에서 인용 · 근거 번호 9종
OWASP · 2023
OWASP API Security Top 10(새 창에서 열려요)
API에서 자주 생기는 보안 문제 10가지를 정리한 문서예요.
다른 사람의 데이터에 접근하는 문제처럼 API에 특화된 점검의 근거로 써요.
점검 항목 9개에서 인용 · 근거 번호 6종
OWASP · 5.0.0
OWASP ASVS (Application Security Verification Standard)(새 창에서 열려요)
웹 애플리케이션이 갖춰야 할 보안 요구사항을 항목별로 정리한 검증 기준이에요.
코드만 보고 자동으로 확인할 수 있는 요구사항을 골라 점검 항목으로 옮겼어요.
점검 항목 41개에서 인용 · 근거 번호 50종
OWASP · 2025
OWASP Top 10 for LLM Applications(새 창에서 열려요)
AI(LLM)를 쓰는 서비스에서 생기기 쉬운 보안 문제 10가지를 정리한 문서예요.
프롬프트에 비밀값을 넣거나 AI 응답을 그대로 실행하는 문제를 점검할 때 써요.
점검 항목 2개에서 인용 · 근거 번호 5종
MITRE · Enterprise
실제 공격자들이 쓰는 기술을 단계별로 정리한 지식 베이스예요.
문제가 공격 흐름의 어느 지점에 해당하는지 보조 근거로 써요.
점검 항목 40개에서 인용 · 근거 번호 30종
MITRE
AI 시스템을 노리는 공격 기술을 정리한 지식 베이스예요.
CAPEC에 대응 패턴이 없는 AI 관련 공격(프롬프트 인젝션 등)을 보완할 때 써요.
점검 항목 2개에서 인용 · 근거 번호 3종
OWASP Web Security Testing Guide (WSTG)(새 창에서 열려요)
테스트 가이드 · OWASP · v4.2
무엇을 어떤 순서로 확인할지 점검 항목을 정리할 때 참고했어요.
보안 기준 · OWASP · 4.0.3
처음 점검 항목을 세울 때 참고했고, 지금 규칙은 5.0.0 기준으로 옮겼어요.
위 기관들이 이 서비스를 보증하거나 제휴한 것은 아니에요. 공개된 기준을 저희가 해석해 규칙으로 옮긴 것이라, 해석이 원문과 다를 수 있어요. CWE™, CAPEC™, ATT&CK®, ATLAS™는 MITRE의 상표예요.
3단계
규칙만으로는 잡기 어려운 부분, 예를 들어 “이 API가 로그인한 본인의 데이터만 돌려주는지” 같은 코드의 흐름과 맥락은 연결된 AI가 2차로 읽어보고 점검해요. AI가 규칙 결과를 지우지는 않아요. 오탐으로 보이는 항목은 근거와 함께 따로 모아 보여드리고, 기록은 그대로 남겨요. AI도 틀릴 수 있기 때문이에요.
4단계
찾아낸 문제는 어려운 보안 용어 대신, 어느 파일의 어디가 문제인지, 어떤 식으로 잘못됐는지, 그대로 두면 어떤 일이 생길 수 있는지를 차근차근 풀어서 정리해요. 아래를 펼치면 결과 화면 예시를 볼 수 있어요.
app/api/orders/[id]/route.ts 12번째 줄 근처예시 화면이에요. 실제 결과의 문구와 내용은 서비스에 따라 달라요.
5단계
오탐으로 판정된 항목을 뺀 나머지를 대상으로, 사용자가 요청하실 때만 수정안을 만들어요. 원본 코드는 그대로 두고, 고친 파일을 따로 내려받을 수 있게 드려요.
6단계
수정본 코드에 같은 규칙 검사를 다시 돌려서 원래 문제가 정말 막혔는지 확인해요. 규칙으로 확인하기 어려운 항목은 AI가 함께 살펴보고, 가능한 항목은 격리된 환경에서 같은 방식으로 다시 시도해 봐요.
7단계
직접 코드를 고쳤거나 기능을 추가했다면, 프로젝트 안에서 코드를 다시 올려 언제든 재점검할 수 있어요. 점검과 수정을 반복하면서 조금씩 더 튼튼하게 만들어 가요.
배포 전에, 한 번만 더 확인해 보세요.
점검 시작하기