한국앤컴퍼니, AI 바이브코딩 해커톤 개최…AI기본법 준수 교육 강화

핵심 요약

- 한국앤컴퍼니그룹이 2026년 6월 판교 테크노플렉스에서 AI 바이브코딩 해커톤 개최, 현업 중심 AI 전환(AX) 가속화 - 승인된 AI 도구 사용·개인정보 보호·사내 AI 플랫폼 활용·AI기본법 행동 기준을 다룬 총 3개 파트 10편 교육 프로그램 운영 - 조현범 회장의 'AI 현업 심기' 전략 아래 AI 자동 코드 생성 보안 취약점 관리 및 개인정보보호 체계 강화

주요 내용

한국앤컴퍼니그룹이 조현범 회장의 'AI 현업 심기' 비전 아래 AI 전환(AX, AI Transformation)을 전방위로 확대하고 있다. 2026년 6월 판교 테크노플렉스 본사에서 개최된 AI 바이브코딩 해커톤은 이러한 전략의 핵심 실행 과제로, 임직원들이 ChatGPT, GitHub Copilot 등 생성형 AI 도구를 활용해 자연어 프롬프트만으로 코드를 생성하는 '바이브 코딩(Vibe Coding)' 역량을 배양하는 자리였다.

바이브 코딩은 개발자가 상세한 문법 대신 "고객 로그인 기능을 만들어줘"와 같은 의도(vibe) 중심 요청으로 AI가 코드를 자동 생성하는 방식이다. 생산성은 크게 향상되지만, AI가 생성한 코드에는 SQL 인젝션, 인증·인가 미비, 경쟁조건(Race Condition), 하드코딩된 API 키 노출 등 보안 취약점이 포함될 위험이 높다. 특히 개인정보 처리 로직에서 암호화 누락, 접근통제 미흡, 로그 과다 수집 등의 문제가 발생하면 GDPR·개인정보보호법 위반으로 이어질 수 있다.

한국앤컴퍼니는 이러한 위험을 선제적으로 관리하기 위해 3개 파트 10편으로 구성된 체계적 교육을 제공했다. 첫 번째 파트는 '승인된 AI 도구 사용과 개인정보 보호'로, 기업이 승인한 AI 서비스만 사용하고 고객 개인정보를 프롬프트에 입력하지 않도록 하는 원칙을 명확히 했다. 두 번째 파트는 사내 AI 플랫폼 활용법으로, 사내 데이터가 외부 유출되지 않도록 온프레미스 또는 프라이빗 클라우드 환경에서 운영되는 AI 도구 사용법을 안내했다. 세 번째 파트는 2026년 시행된 AI기본법에 따른 행동 기준으로, AI 시스템의 투명성·공정성·책임성 확보 의무와 고위험 AI 사용 시 사전 영향평가 수행 등을 교육했다.

이번 해커톤은 단순 기술 시연이 아니라 AI 거버넌스 체계 구축의 일환으로 기획됐다. 참가자들은 바이브 코딩으로 생성한 코드를 정적 분석 도구(SAST)와 동적 분석 도구(DAST)로 검증하고, 개인정보 처리 부분은 별도 보안 검토를 거치도록 했다. 이는 AI 도구 사용이 자유로운 환경에서도 보안·개인정보보호 기준을 준수하는 문화를 정착시키려는 시도다.

전문가 시각

ISMS-P 관점에서 바이브 코딩 환경은 '개발 보안(2.8)' 및 '개인정보 생명주기 보호(3.1)' 통제 항목에 새로운 도전 과제를 제시한다. AI가 생성한 코드는 개발자가 직접 작성한 코드와 동일한 보안 검증을 받아야 하며, 특히 개인정보 수집·이용·제공·파기 로직에서는 법적 근거 확보, 암호화 적용, 접근 권한 최소화 원칙이 반드시 구현돼야 한다. 한국앤컴퍼니의 '승인된 AI 도구만 사용' 정책은 ISMS-P 2.6.2(인가되지 않은 소프트웨어 설치 방지)와 직접 연결되며, 프롬프트 입력 시 개인정보 입력 금지 원칙은 3.1.4(개인정보 수집 최소화) 통제의 선제적 실행이다.

실무 대응 방안으로는 ① AI 코드 생성 도구 사용 전 '프롬프트 입력 가이드라인' 배포 ② 생성 코드에 대한 자동화된 보안 스캐닝 파이프라인 구축 ③ 개인정보 처리 코드는 반드시 인간 개발자의 수동 검토(human-in-the-loop) 필수화 ④ AI기본법 제15조(AI 영향평가) 대응을 위한 내부 체크리스트 수립이 필요하다. 특히 바이브 해킹(Vibe Hacking) 위협—악의적 프롬프트를 통해 백도어나 정보 유출 코드를 생성시키는 공격—을 방지하려면 프롬프트 입력 내용을 로깅하고 이상 패턴을 모니터링하는 체계도 병행돼야 한다.

CPPG·ISMS-P 연계 포인트

ISMS-P 2.8.3 (보안 약점 제거): AI 자동 생성 코드도 OWASP Top 10, CWE/SANS Top 25 기준 보안 약점 진단 대상이며, SQL 인젝션·XSS·인증 우회 등 취약점을 배포 전 제거해야 인증 심사 통과 가능. 정적·동적 분석 도구를 CI/CD 파이프라인에 통합해 자동 검증 체계 구축이 필수다.

개인정보보호법 제29조 (안전조치의무): 바이브 코딩으로 생성된 개인정보 처리 코드는 암호화(전송·저장 시), 접근통제, 접속기록 관리 등 안전조치 기준을 충족해야 하며, AI 도구에 개인정보를 입력하는 행위 자체가 제3자 제공에 해당할 수 있어 사전 동의 또는 별도 법적 근거 확보가 필요하다.