코드 자체가 나쁜 게 아니라, 이 툴들이 '데모에서 잘 돌아가는 것'에 최적화되어 있거든요

AI 툴로 주말에 완성한 앱, 실제 사용자 붙이는 순간 똑같은 곳에서 터진다는 거 알고 계셨나요?

개발자 Erik Anderson이 Lovable·Bolt·Cursor·v0 같은 바이브코딩 툴로 만든 앱에서 반복되는 12가지 프로덕션 버그를 정리했어요. 코드 자체가 나쁜 게 아니라, 이 툴들이 '데모에서 잘 돌아가는 것'에 최적화되어 있거든요.

가장 흔한 건 API 키·DB URL이 프론트엔드 번들에 그대로 노출되는 문제예요. 배포된 앱에서 소스 보기로 'sk_', 'secret', 'postgres://' 검색하면 바로 확인돼요. 그 다음이 로그인·결제 엔드포인트 rate limit 미적용, RLS 정책 구멍, CORS 와일드카드, 입력값 검증 없는 SQL 인젝션 노출이고요.

바이브코딩이 나쁜 게 아니라, 프로덕션은 데모와 다른 시험이라는 거예요. 실제 돈, 새벽 2시 장애, 악의적인 입력이 들어오는 환경에서의 체크리스트가 따로 필요한 시대가 됐어요.