경기교육청 AI 플랫폼, 바이브 코딩 보안 취약점 점검 시급 - 최지원 의원 개인정보 보호 강조

핵심 요약

- 최지원 경기도의원이 경기교육청 AI·데이터 플랫폼 구축 시 개인정보 보호와 보안을 최우선으로 고려해야 한다고 촉구 - 교육 현장에서 활용되는 AI 플랫폼의 바이브 코딩 방식 도입 시 자동 생성 코드의 보안 취약점 점검 필요 - 학생 개인정보와 학습 데이터를 다루는 교육 플랫폼의 특성상 ISMS-P 수준의 보안 체계 구축이 시급

주요 내용

최지원 경기도의회 의원(국민의힘, 비례, 교육기획위원회)은 2026년 8월 20일 경기도교육청이 추진 중인 AI·데이터 기반 디지털플랫폼 구축 사업에 대해 개인정보 보호와 보안을 최우선으로 해야 한다고 강조했다. 특히 교육 현장의 실질적 체감도를 높이기 위한 보안 점검이 선행되어야 한다고 주문했다.

경기도교육청의 AI 플랫폼 구축 과정에서 주목해야 할 보안 이슈는 '바이브 코딩(Vibe Coding)' 방식의 활용이다. 바이브 코딩은 개발자가 자연어로 원하는 기능을 설명하면 ChatGPT, GitHub Copilot 등 생성형 AI가 자동으로 코드를 생성하는 개발 방식을 의미한다. 이는 개발 속도를 획기적으로 높이지만, AI가 생성한 코드에 SQL 인젝션, 부적절한 인증·인가 로직, 경쟁조건(Race Condition), 하드코딩된 API 키 등 심각한 보안 취약점이 포함될 수 있다는 문제가 있다.

교육 플랫폼의 경우 미성년자인 학생들의 민감정보(성명, 학교, 학년, 학습 이력, 성적 데이터 등)를 대량으로 처리하기 때문에 개인정보 보호 관점에서 더욱 엄격한 기준이 적용되어야 한다. AI 자동 생성 코드가 개인정보 암호화 미흡, 접근 통제 누락, 로그 관리 부재 등의 취약점을 포함할 경우, 대규모 개인정보 유출 사고로 이어질 수 있다. 특히 '바이브 해킹(Vibe Hacking)'이라 불리는 공격 기법은 AI 코드 생성 과정에서 악의적인 프롬프트를 주입해 취약한 코드를 의도적으로 생성시키는 방식으로, 교육 플랫폼처럼 다수의 개발자가 참여하는 프로젝트에서 더욱 위협적이다.

최지원 의원의 지적은 2026년 현재 AI 기반 교육 플랫폼이 급속도로 확산되는 시점에서 매우 시의적절하다. 디지털새싹, 사이버가디언즈, Build with AI 등 청소년 AI·코딩 교육 프로그램이 전국적으로 확대되고 있으며, ChatGPT를 활용한 교육이 일반화되면서 교육 데이터의 보안 중요성은 더욱 커지고 있다.

전문가 시각

ISMS-P 선임심사원 관점에서 볼 때, 경기도교육청의 AI 플랫폼 구축 시 가장 중요한 것은 '설계 단계부터의 보안(Security by Design)' 원칙 적용이다. 바이브 코딩 방식을 활용할 경우 ① AI 생성 코드에 대한 필수 보안 검증 절차(SAST, DAST 도구 활용) ② 개인정보 처리 코드에 대한 별도 수동 검토 ③ 코드 생성 프롬프트에 보안 요구사항 명시(예: "OWASP Top 10 취약점이 없는 안전한 코드 생성") ④ 생성 코드의 라이선스 및 출처 검증 등의 대응 방안을 반드시 마련해야 한다.

실무적으로는 교육청 산하 학교들이 AI 플랫폼을 도입할 때 개인정보 영향평가(PIA)를 의무화하고, ISMS-P 인증 취득을 권장해야 한다. 특히 학생 개인정보는 정보통신망법과 개인정보보호법상 '만 14세 미만 아동'에 대한 법정대리인 동의 등 특별한 보호 조치가 필요하므로, AI 자동 생성 코드가 이러한 법적 요구사항을 준수하는지 반드시 검증해야 한다. 바이브 코딩의 편리함에만 의존하지 말고, 교육 데이터의 민감성을 고려한 다층 보안 체계 구축이 필수적이다.

CPPG·ISMS-P 연계 포인트

1. 개인정보 영향평가(Privacy Impact Assessment, PIA)
ISMS-P 인증 기준 3.3.3항에 해당하며, 5만 명 이상의 정보주체 정보를 처리하거나 민감정보·고유식별정보를 처리하는 시스템 구축 시 필수다. 경기도 학생 정보를 다루는 AI 플랫폼은 반드시 사전 PIA를 수행해 개인정보 침해 위험을 식별하고 보호대책을 수립해야 한다.

2. 아동·청소년 개인정보 특별 보호(만 14세 미만 법정대리인 동의)
개인정보보호법 제22조 제6항 및 정보통신망법 제31조에 따라 만 14세 미만 아동의 개인정보 수집 시 법정대리인 동의가 필수다. AI 플랫폼 설계 시 연령 확인 절차, 법정대리인 동의 획득 프로세스, 아동 정보의 별도 암호화 등을 바이브 코딩으로 구현할 경우 법적 요구사항 누락 여부를 반드시 검증해야 한다.