전남광주시의회 'AI 자체 개발' 신고앱, 바이브 코딩 보안 취약점 우려

핵심 요약

- 전남광주시의회 교육특별전문위원실, 생성형 AI 활용해 '교육예산낭비신고센터' 웹앱 자체 개발 - 바이브 코딩(Vibe Coding) 방식의 AI 자동 생성 코드, 보안 취약점·개인정보 처리 검증 과정 미비 우려 - 시민 제보 데이터의 민감성 고려 시 개인정보 보호법 준수, ISMS-P 기반 보안 검증 체계 구축 필요

주요 내용

전남광주시의회가 2026년 8월 생성형 AI를 활용해 자체 개발한 교육예산낭비신고센터 웹앱이 개인정보 보호 관점에서 주목받고 있다. 시의회 교육특별전문위원실은 외부 용역 없이 ChatGPT 등 생성형 AI 도구를 활용한 '바이브 코딩(Vibe Coding)' 방식으로 신고 접수 시스템을 구축했다고 밝혔다.

바이브 코딩은 개발자가 자연어로 원하는 기능을 AI에게 지시하면 AI가 자동으로 코드를 생성하는 방식이다. 개발 속도가 빠르고 예산 절감 효과가 있지만, AI가 생성한 코드에는 ① SQL 인젝션·XSS 등 입력 검증 미비 취약점 ② 세션 관리·인증 로직 부재 ③ 경쟁조건(Race Condition)으로 인한 데이터 무결성 침해 ④ 하드코딩된 개인정보·API 키 노출 등 보안 결함이 포함될 가능성이 높다. 특히 GitHub Copilot, ChatGPT 등이 생성한 코드의 약 40%에서 CWE(Common Weakness Enumeration) Top 25 취약점이 발견된다는 2025년 OWASP 연구 결과는 이를 뒷받침한다.

교육예산 낭비 신고라는 특성상 제보자 신원, 제보 내용, 관련 증빙자료 등 민감한 개인정보가 수집·처리된다. 개인정보 보호법 제29조(안전조치의무)에 따라 접근 통제, 암호화, 접속 기록 관리 등이 필수적이나, 바이브 코딩으로 개발된 시스템이 이러한 법적 요구사항을 충족했는지는 불분명하다. 특히 개인정보영향평가(PIA) 수행 여부, 개인정보 처리방침 고지, 제3자 제공 동의 절차 등 개인정보 생명주기 전반의 통제 체계가 구축되지 않았다면 법 위반 소지가 크다.

원문에서 언급한 "검증과 개인정보 보호, 처리 과정의 투명성"은 바로 이러한 바이브 코딩의 본질적 한계를 지적한 것이다. AI가 생성한 코드는 블랙박스 특성상 숨겨진 취약점 식별이 어렵고, 개발 과정에서 학습 데이터에 포함된 악성 패턴이나 라이선스 위반 코드가 혼입될 위험도 존재한다. 2026년 현재 EU AI Act, 한국 AI기본법 논의에서도 AI 생성 결과물에 대한 책임성(Accountability) 확보가 핵심 쟁점으로 다뤄지고 있다.

전문가 시각

ISMS-P 선임심사원 관점에서 본 사례는 공공기관의 '그림자 IT(Shadow IT)' 문제를 드러낸다. 예산 절감과 신속한 개발이라는 명분 하에 정보보호 거버넌스를 우회한 시스템 구축은, 결과적으로 더 큰 개인정보 침해 사고와 법적 책임으로 이어질 수 있다. 실무 적용 시 반드시 ① AI 생성 코드에 대한 정적 분석 도구(SAST) 적용 ② 모의해킹 등 보안성 검토 ③ 개인정보영향평가(PIA) 수행 ④ ISMS-P 인증 기준(2.8 시스템 개발보안, 2.9 암호화 적용 등) 준수 여부 점검이 선행되어야 한다.

특히 공공기관은 개인정보 보호법 제33조(개인정보 영향평가) 대상 기관으로, 100만 명 이상의 정보주체에 관한 민감정보 또는 고유식별정보 처리 시스템 구축·변경 시 의무적으로 영향평가를 받아야 한다. 바이브 코딩으로 개발했더라도 이러한 법적 의무는 면제되지 않는다. 향후 지방의회가 AI 보조 개발 도구를 활용할 경우, 개발 단계부터 정보보호최고책임자(CISO) 주도의 보안성 검토 체계를 구축하고, 코드 리뷰·취약점 진단·침투 테스트 등 다층 검증 프로세스를 의무화해야 한다.

CPPG·ISMS-P 연계 포인트

개인정보 안전조치의무(개인정보 보호법 제29조, ISMS-P 2.8)
개인정보처리자는 개인정보의 안전한 처리를 위해 내부 관리계획 수립, 접근 통제, 암호화, 접속 기록 보관 등 기술적·관리적·물리적 안전조치를 해야 한다. AI 자동 생성 코드라도 SQL 인젝션 방어, 세션 관리, 입력값 검증 등 Secure Coding 원칙을 준수해야 한다.

시스템 개발 보안(ISMS-P 2.8.4 개발 보안)
정보시스템 개발 시 설계·구현·테스트 전 단계에 보안 요구사항을 반영하고, 소스코드 보안 약점 점검 도구를 활용해 취약점을 제거해야 한다. 바이브 코딩 산출물은 반드시 SAST/DAST 도구 기반 검증과 전문가 코드 리뷰를 거쳐야 인증 기준을 충족할 수 있다.