무슨 일이 있었나
캐나다 사이버 보안 센터(캐나다 통신보안기구의 일부)는 AI 생성 코드/'바이브 코딩'의 보안 위험을 다루는 지침 'Managing security risks in vibe coding' (ITSM.60.043)을 발표했습니다. 이 지침은 다음을 다룹니다: 아첨(AI가 사용자에게 동의하며 안전하지 않은 출력을 은폐하는 것); 취약하거나 안전하지 않은 코드와 코드 검토의 필요성; 코드 출처(생성된 코드가 학습 데이터에서 취약하거나 오래되었거나 악의적인 패턴을 상속할 수 있음); 공급망 무결성(공급업체 신뢰 계층 분석, 보안/데이터 조건, 소프트웨어 자재 명세서); 환각된 패키지 이름이나 라이브러리의 슬롭스쿼팅/오타스쿼팅; AI 도구 또는 AI 제공업체의 학습 조건을 통한 정보 유출; 그리고 AI로 코드가 생성될 때 의도적인 아키텍처 보안 설계의 상실. 이 지침의 핵심은 안전하고 신뢰할 수 있으며 프로덕션 준비가 된 코드를 생성하려면 여전히 기술적 전문성이 필요하며, 코드의 위험에 맞춰 검토, 테스트 및 승인 요구 사항을 조정해야 한다는 점입니다. 날짜에 대한 참고: 게시 날짜는 가져온 페이지나 검색 결과에서 확인할 수 없었습니다(복구 가능한 날짜 메타데이터 없음). 따라서 이는 QA 판정을 위해 제출되었으며 보고 기간 내에 포함될 수도 있고 아닐 수도 있습니다.
왜 중요한가
CCCS는 NCSC/CISA/NSA와 함께 인정받는 국가 사이버 당국입니다. 이는 AI 코딩 도구/'바이브 코딩' 위험을 구체적으로 다룬 최초의 국가 지침이며, 시장에서 인용되고 있습니다(예: 2026년 11월 1일 AI 생성 코드 실사에 관한 기사). 소프트웨어 거래에서 AI가 작성한 코드를 평가하기 위한 검토 분류 체계로 사용되고 있습니다. 이는 AI 생성 코드를 관리하는 것이 보안 책임이라는 권위 있는 캐나다의 입장을 확립하며, AI 생성 의존성의 슬롭스쿼팅-공급망 위험과 AI 제공업체에 대한 출처/사용 조건 문제를 포함합니다.
필요한 조치
AI 코딩 어시스턴트를 사용하는 조직은 지침을 검토하고 코드 검토, SBOM/의존성 스캔, AI 공급업체 데이터 조건 및 코드 출처 통제를 정렬해야 합니다. QA 또는 후속 연구는 게시 날짜를 확인하여 새 기간 내 발행물인지 여부를 결정해야 합니다.