IDEsaster: AI 개발 도구의 보안 경고
2025년 12월, 보안 연구자들이 주요 AI 코딩 도구에서 30건 이상의 보안 취약점을 발견했습니다. 'IDEsaster'로 명명된 이 연구는 AI 코드 편집기, 코딩 보조 확장, CLI 코딩 에이전트 등 널리 사용되는 도구들이 원격 코드 실행(RCE)과 데이터 탈취에 취약할 수 있음을 보여줍니다.
발견된 주요 취약점 유형
1. 원격 코드 실행 (RCE)
AI 도구가 생성한 코드를 자동 실행하는 기능에서 발생합니다. 악의적으로 조작된 프로젝트를 열면, AI 에이전트가 공격자의 코드를 실행할 수 있습니다.
2. 데이터 탈취
AI 도구가 접근하는 파일 시스템과 환경 변수에서 민감 정보(API 키, 자격 증명)가 유출될 수 있습니다.
3. 프롬프트 인젝션
프로젝트 파일(README, 주석 등)에 숨겨진 명령어로 AI 도구의 동작을 조작하는 공격입니다.
개발자가 지금 해야 할 것
- AI 코딩 도구 최신 버전 유지 — 대부분의 취약점이 패치되고 있습니다
- 자동 실행 기능 비활성화 — AI가 생성한 코드를 자동으로 실행하지 않도록 설정
- 환경 변수 분리 — .env 파일과 API 키를 AI 도구 접근 범위에서 제외
- 생성된 코드 검토 — AI가 만든 코드를 무조건 신뢰하지 말고 보안 관점에서 리뷰
AI로 만든 코드, 보안 점검은 했나요?
CodeRabbit의 공개 GitHub PR 470건 분석 보고서를 인용한 The Register 보도(2025년 12월 17일)에 따르면, AI가 함께 작성한 것으로 분류된 PR이 사람만 작성한 것으로 분류된 PR보다 보안 이슈가 전체로 약 1.57배, 항목별로는 XSS가 2.74배 많았습니다(수치의 의미와 한계). 배포한 서비스에서 밖으로 보이는 설정과 노출 항목은 CodeScan 무료 스캔으로 먼저 확인할 수 있습니다.
출처: The Hacker News, 'Researchers Uncover 30+ Flaws in AI Coding Tools' (2025.12) · CodeRabbit, 'Our new report: AI code creates 1.7x more problems' (2025.12.17) · The Register, 'AI-authored code needs more attention, contains worse bugs' (2025.12.17)