📰 바이브코딩의 보안 위기 — API 키 150만 개 유출된 Moltbook 사건

바이브코딩으로 빠르게 만들고, 빠르게 출시하고, 빠르게 성장한 서비스가 있어요. Moltbook이라는 AI 에이전트 소셜 네트워크인데요. 문제는 "빠르게" 보안 사고도 터졌다는 거예요.

Moltbook은 AI 에이전트들이 소통하는 소셜 네트워크 서비스예요. 바이브코딩으로 빠르게 개발해서 출시했는데, Supabase 설정 오류 하나로 다음이 유출됐어요:

Supabase는 바이브코딩에서 가장 많이 쓰이는 백엔드 서비스예요. 데이터베이스, 인증, 스토리지를 한 번에 제공하니까 빠르게 만들기 딱 좋거든요. 그런데 보안 설정(Row Level Security)을 제대로 안 하면 데이터베이스가 통째로 열려버려요.

Moltbook 사건이 개별 실수가 아니라 구조적 문제라는 걸 보여주는 연구가 있어요. 컬럼비아 대학교 연구팀이 AI 코딩 에이전트의 보안 실패를 분석했는데, 3가지 패턴이 나왔어요:

1. 속도 > 안전: AI 코딩 에이전트는 코드를 "작동시키는 것"에 최적화돼 있어요. "안전하게 만드는 것"에는 최적화가 안 돼 있어요. 프롬프트로 "웹사이트 만들어줘"라고 하면 작동하는 코드를 주지만, 보안 설정은 빠져 있는 경우가 많아요.

2. 사이드 이펙트 인지 불가: 한 파일을 수정하면 다른 파일에 어떤 영향을 미치는지 AI가 완벽하게 파악하지 못해요. 인증 로직을 수정했더니 다른 곳의 권한 체크가 풀려버리는 식이죠.

3. 패턴 매칭이지, 판단이 아님: AI는 "이전에 본 코드 패턴"을 재현해요. 보안 전문가처럼 "이 구조가 공격에 취약한가?"를 판단하는 게 아니에요. 학습 데이터에 보안 취약한 코드가 포함돼 있으면 그걸 그대로 따라 쓸 수 있어요.

Towards Data Science 글에서 제안하는 해결책 3가지예요:

스펙 기반 프롬프트: "앱 만들어줘"가 아니라 "OWASP Top 10 보안 기준을 준수하는 앱 만들어줘"라고 구체적으로 요구하세요. 프롬프트에 보안 요구사항을 명시하면 AI가 그에 맞는 코드를 생성할 확률이 높아져요.

코드 리뷰: Tesla AI 출신 Andrej Karpathy가 경고한 "slop(쓰레기 코드)" 문제예요. AI가 생성한 코드를 무조건 수락하지 말고, 최소한 보안 관련 부분은 검토해야 해요.

자동 가드레일: GitGuardian, TruffleHog 같은 도구로 코드에 API 키나 비밀번호가 하드코딩되지 않았는지 자동으로 체크하세요. 사람이 놓칠 수 있는 걸 도구가 잡아줘요.

이 기사를 읽고 "바이브코딩 위험하네, 안 해야겠다"라고 생각하면 잘못된 결론이에요. 핵심은 "빠르게 만들되, 보안은 체크리스트로 관리하라"는 거예요.

바이브코딩으로 Supabase 프로젝트를 만들 때 딱 3가지만 확인하세요:

이 3가지만 지켜도 Moltbook 같은 사고는 막을 수 있어요. AI가 코드를 만들어줘도, 보안 체크는 아직 사람의 몫이에요.

AI 에이전트 소셜 네트워크 Moltbook에서 바이브코딩으로 빠르게 만들다가 보안을 놓쳐 API 키 150만 개, 이메일 3.5만 개가 유출됐어요