코딩 경험이 거의 없는 사람들이 비밀번호 관리자를 배포하는 지경에 이르렀다
We've reached the point where people with practically zero coding experience are shipping password managers to the public
핵심 요약
AI를 활용해 보안 지식 없이 비밀번호 관리자를 개발하고 배포하는 현상에 대한 우려와 비판이 제기되었습니다.
- 보안 위험성 — 검증되지 않은 개발자가 만든 보안 소프트웨어의 신뢰성 문제 제기됨
- AI의 부작용 — AI로 작동하는 앱을 만들기 쉬워지면서 보안과 기능의 차이를 간과함
- 책임의 문제 — 교육용 프로젝트와 실제 사용자 데이터를 다루는 앱의 책임은 차원이 다름
- 공급망 공격 — 오픈소스 프로젝트가 악의적인 빌드로 변질될 가능성에 대한 경고
코딩 경험이라곤 거의 없는 사람이 KAPEVault라는 오픈소스 비밀번호 관리자를 내놓은 걸 봤다.
프로젝트: https://kapevault.brewedops.cloud
그냥 튜토리얼 따라 만든 수준이 아니다. 비밀번호, 2FA 코드, API 키, 신분증 같은 민감한 정보를 저장하는 윈도우 및 안드로이드용 앱을 실제로 배포하고 있다.
나도 소프트웨어 엔지니어고 AI 코딩 툴을 적극적으로 쓰는 사람이다. AI는 진짜 대단하다고 생각함. 근데 프로그래밍 경험도 거의 없는 상태에서 만들 수 있는 게 널리고 널렸는데, 왜 하필 비밀번호 관리자를 만드는 거냐? 도대체 무슨 생각인지 모르겠네.
물론 인정할 건 인정하자. 오픈소스고, 위협 모델도 문서화되어 있고, 자동화 테스트도 있고, 자체 보안 검토도 거쳤다. 하지만 저장소에도 명시되어 있듯이 제3자 보안 감사는 전혀 안 받은 상태다.
사람들한테 자기 디지털 신원 전체를 맡기라고 요구하는 상황에서 이건 꽤 중요한 차이다.
AES-256-GCM이랑 scrypt 쓴다고 비밀번호 관리자가 자동으로 안전해지는 게 아니다. 인터페이스 깔끔하다고, 자동화 테스트 통과했다고, AI한테 자기 코드 검토하라고 시켰다고 보안이 보장되는 것도 아니고.
보안은 단순히 올바른 암호화 알고리즘을 고르는 문제가 아니다. 전체 공격 표면을 이해하고, 비밀 정보를 제대로 다루고, 예외 상황을 파악하고, 모든 게 잘 돌아가는 것처럼 보일 때조차 뭐가 잘못될 수 있는지 아는 게 핵심이다.
이 프로젝트가 안전하지 않다고 단정 짓는 건 아니다. 보안 감사를 직접 해본 것도 아니니 그런 식으로 말하는 건 무책임하겠지.
내 걱정은 사람들이 자기가 뭘 만드는지도 제대로 이해하지 못한 채 보안이 중요한 소프트웨어를 너무 자신 있게 내놓는 현상이 늘고 있다는 거다.
초보자가 실험하고 배우면서 오픈소스로 프로젝트를 공개하는 건 전혀 문제없다. 그렇게 실력이 느는 거니까. 하지만 교육용으로 만드는 거랑, 실제 사용자가 자기 은행 계좌 정보까지 맡길 수 있는 물건을 배포하는 건 책임감의 차원이 완전히 다르다.
AI 덕분에 작동하는 소프트웨어를 만드는 건 말도 안 되게 쉬워졌다. 불행히도, 작동하는 앱을 안전한 앱으로 착각하는 것도 말도 안 되게 쉬워졌고.
코딩은 AI한테 맡길 수 있어도, 일이 터졌을 때 지는 책임까지 AI한테 떠넘길 수는 없는 노릇이다.
도대체 언제쯤 이 문제를 심각하게 받아들여야 할까?
