딥시크·키미 등 중국 AI, 클립보드 개인정보 무단 수집 논란…바이브 코딩 시대 보안 위협 가중

핵심 요약

- 딥시크R1, 키미K3 등 중국 AI 모델이 클립보드에 임시 저장된 개인정보까지 무단 수집하는 것으로 확인 - 바이브 코딩(자연어 기반 AI 자동 코드 생성) 환경에서 개발자 민감정보 유출 위험 증가 - AI 생성 코드의 개인정보 처리 로직 검증 없이 사용 시 PIPA 위반 및 보안 취약점 발생 가능

주요 내용

2026년 8월 현재, 딥시크R1과 키미K3 등 중국산 대규모언어모델(LLM)이 사용자 클립보드에 임시 저장된 정보까지 수집하는 것으로 드러나 개인정보보호 우려가 커지고 있다. 이들 AI 모델은 복사-붙여넣기 과정에서 임시 메모리에 저장되는 주민등록번호, API 키, 암호, 내부 문서 등을 서버로 전송하는 것으로 확인됐다.

특히 문제가 되는 것은 이러한 중국 AI 모델들이 '바이브 코딩(Vibe Coding)' 환경에서 광범위하게 활용되고 있다는 점이다. 바이브 코딩은 개발자가 자연어로 원하는 기능을 설명하면 AI가 자동으로 코드를 생성해주는 방식으로, ChatGPT, GitHub Copilot뿐만 아니라 중국산 AI도 경쟁력 있는 성능으로 개발자들 사이에서 사용이 증가하고 있다. 문제는 이 과정에서 개발자가 프롬프트에 포함시킨 데이터베이스 스키마, 고객 정보 샘플, 내부 시스템 구조 등이 AI 서비스 제공자에게 그대로 전송된다는 것이다.

바이브 코딩으로 생성된 코드 자체도 심각한 보안 취약점을 내포할 수 있다. 최근 연구에 따르면 AI가 자동 생성한 코드의 약 40%에서 SQL 인젝션, 인증 우회, 민감정보 평문 저장 등의 취약점이 발견됐다. 특히 개인정보 처리 로직에서 동의 절차 누락, 암호화 미적용, 보유기간 검증 부재 등 개인정보보호법(PIPA) 위반 소지가 있는 코드가 다수 생성되고 있다.

'바이브 해킹(Vibe Hacking)'이라는 새로운 공격 기법도 등장했다. 공격자가 AI에게 악의적인 프롬프트를 주입해 의도적으로 취약한 코드를 생성하도록 유도하거나, 공개 코드 저장소에 오염된 학습 데이터를 삽입해 AI가 백도어가 포함된 코드를 생성하도록 만드는 방식이다. 중국 AI 모델의 경우 데이터 처리 과정의 투명성이 낮아 이러한 위협에 더욱 취약하다는 지적이다.

전문가 시각

ISMS-P 인증심사 실무 경험에 비추어 볼 때, 현재 대부분의 조직이 바이브 코딩 환경의 개인정보보호 리스크를 과소평가하고 있다. AI 코드 생성 도구 사용 시 ① 프롬프트에 실제 개인정보 포함 금지 원칙 수립 ② AI 생성 코드에 대한 보안 코드 리뷰 필수화 ③ 중국산 AI 등 해외 서비스 사용 시 데이터 국외 이전 영향평가 실시 ④ 개인정보 처리 로직은 반드시 수동 검증 후 적용하는 내부 지침을 마련해야 한다.

특히 청소년 AI·코딅 교육 현장에서도 주의가 필요하다. 디지털새싹, 사이버가디언즈, Build with AI 등 정부 지원 교육 프로그램에서 ChatGPT나 중국 AI를 활용한 코딩 실습이 확대되고 있는데, 학습 과정에서 학생들이 무심코 개인정보를 프롬프트에 포함시킬 수 있다. 교육기관은 AI 활용 시 개인정보보호 원칙을 함께 교육하고, 교육용으로는 데이터 보호 정책이 명확한 서비스를 선별해 사용해야 한다. 2026년 AI기본법 시행을 앞두고 AI 개발·활용 전 과정에서의 개인정보보호 거버넌스 구축이 시급한 시점이다.

CPPG·ISMS-P 연계 포인트

개인정보 처리 위탁 및 국외 이전 - AI 코드 생성 서비스 이용 시 프롬프트에 포함된 개인정보가 서비스 제공자(수탁자)에게 전송되므로 위탁 계약 체결 및 고지가 필요하며, 중국 등 해외 AI 사용 시 개인정보보호법 제28조의8에 따른 국외 이전 절차(고지, 동의, 영향평가 등)를 준수해야 함

안전한 소프트웨어 개발(Secure SDLC) - ISMS-P 인증기준 2.8.2 '보안 요구사항 구현'에 따라 AI 자동 생성 코드라도 개인정보 처리 구간에 대해서는 ① 입력값 검증 ② 암호화 적용 ③ 접근통제 ④ 로깅 등 보안 요구사항이 제대로 구현되었는지 반드시 수동 검증 후 배포해야 함