직접 만든 AI 보안 스캐너 "Vibe Check"로 오픈소스 바이브코딩 툴들을 직접 점검했거든요

주요 바이브코딩 도구들을 보안 스캔했더니, 100점 만점에 90점을 넘긴 건 Cursor 하나뿐이었어요.

직접 만든 AI 보안 스캐너 "Vibe Check"로 오픈소스 바이브코딩 툴들을 직접 점검했거든요. open-lovable은 0점으로 인증 없이 실행되는 API 라우트가 3개나 있었고, Devika는 40점으로 LLM 응답을 검증 없이 subprocess.run()으로 그냥 실행하는 치명적 결함이 있었어요. Bolt.new는 90점이었는데도 명령어 인젝션 취약점이 발견됐어요.

기존 정적 스캐너(SonarQube, Trivy 등)가 놓치는 건 "의도 버그"예요. 코드 문법은 안전해 보여도, LLM이 생성한 명령어를 그대로 서버에서 실행하면 공격자가 AI를 통해 서버를 제어할 수 있거든요.

AI로 짠 코드는 작동은 해도 안전하진 않을 수 있다는 걸 다시 한번 보여주는 사례예요.