【드래곤 스포츠】 보증업체놀이터추천홍보 : 프로그램제작판매제작의뢰 : 스포츠분석 : 무료스포츠중계tv : 섹시bj움짤 : 뉴스 : 안구정화

로그인

글쓰기

[IT뉴스][오픈테크넷 2026] 쏟아지는 AI 코드, 검수는 제자리…'시프트 레프트' 전략 달라진다

온카뱅크관리자

2026-09-15 16:37:25

<div id="layerTranslateNotice" style="display:none;"></div>  
        <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
         <section dmcf-sid="7JbxDb0Hy3">
          <figure class="figure_frm origin_fig" contents-hash="7f301712be9f7c8cb2484d114eb5158d6e1eb948b252d7d7d5c2136ed499d1e7" dmcf-pid="ziKMwKpXhF" dmcf-ptype="figure">
           <p class="link_figure"><img class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202609/15/552796-pzfp7fF/20260915163554045fzur.jpg" data-org-width="640" dmcf-mid="utIH9IkLh0" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202609/15/552796-pzfp7fF/20260915163554045fzur.jpg" width="658"></p>
          </figure>
          <p contents-hash="f4510dcf1422a8faaef0b101af623d261975dbb1ca79438fdcca9276a95d7bcb" dmcf-pid="qn9Rr9UZlt" dmcf-ptype="general">[디지털데일리 김보민기자] 인공지능(AI) 코딩 에이전트 도입이 확대되면서 소프트웨어(SW) 개발 속도가 증가했다. 반면 보안 검수 인력은 제자리걸음이다. 개발 초기 단계 보안을 강화하는 '시프트 레프트(Shift Left)' 전략을 재설계해야 한다는 현장 목소리가 커지는 이유다.</p>
          <p contents-hash="fd3f64e4742abdc6cda0bf95c39b46f0398b128167952257f6d9000a6672d835" dmcf-pid="BL2em2u5v1" dmcf-ptype="general">최근 기업 소프트웨어 저장소에 사람이 직접 입력한 코드는 찾아보기 힘들다. 개발 주체가 사람에서 AI 에이전트로 넘어갔기 때문이다. 에이전트는 초 단위로 코드를 병합하지만 이를 검토할 인력 수는 과거와 동일하다. 기계가 코드를 생성하는 속도를 사람이 따라가지 못해 결국 인력이 개발 파이프라인 병목 지점으로 전락할 수 있다는 의미다.</p>
          <p contents-hash="e2bf5c243aecfd7e6f2d79a0de87975508a3d30c35c2ddcaa151a61d9a6426b5" dmcf-pid="boVdsV71l5" dmcf-ptype="general">정영진 링크알파 데브옵스·백엔드 엔지니어는 15일 서울 양재동 엘타워에서 열린 '오픈 테크넷 서밋 2026'을 통해 "결함을 늦게 발견할수록 수정 비용이 비싸다는 명제는 여전하지만, 개발자가 피드백을 받으면 코드를 고친다는 시프트 레프트 전제는 깨졌다"며 "코드를 작성하는 주체가 사람이 아닌 에이전트로 바뀌었기 때문"이라고 밝혔다.</p>
          <p contents-hash="07fe4977fb451e9568a5c48eabcfa2eca66a6985043f47dc1f9836eb05a4dca9" dmcf-pid="K839o3GhlZ" dmcf-ptype="general">과거에는 개발자 간 동료 리뷰를 거치며 배포 전 보안 취약점이나 논리 오류를 수정했다. 현재는 이 과정이 작동하지 않는다. 보안 솔루션이 던지는 경고성 알림(Alert)은 검토 불가능한 소음에 불과하다는 지적도 나온다. 후속 조치가 따르지 않는 경고는 방어 게이트 역할을 수행하지 못한다는 것이다.</p>
          <p contents-hash="87415bf448fadc31f42c73faf9b88f712555e75d124ad5f161ac555bfc51595f" dmcf-pid="9602g0HlCX" dmcf-ptype="general">정 엔지니어는 이러한 현상의 대안으로 인력 검수 의존도를 낮추고 공정 기반 강제 통제를 도입하는 방식을 제안했다. 파이프라인 앞단에 안내 계층과 강제 계층을 분리해 정책 가이드라인 제시를 넘어, 보안 테스트나 정적 분석(SAST)을 통과하지 못하면 코드 병합을 차단하는 강제 게이트가 필요하다는 취지다. AI 모델이 구조적으로 놓치는 스크립팅이나 로그 인젝션 취약점 방어에도 정적 보안 도구 연동이 요구될 수 있다.</p>
          <p contents-hash="e9b65a1c96d5e4e749676651ecc0d568aa81b74a4990a4153813a3d1cebf2f9d" dmcf-pid="2PpVapXSTH" dmcf-ptype="general">정 엔지니어는 "에이전트가 쏟아내는 코드를 사람이 검수할 수 없다"며 "기계는 반복 가능하고 결정적인 정책 검사를 통해 악성 코드 통과를 막고, 사람은 설계 의도 분석과 위험 수용 여부 판단에 집중해야 한다"고 강조했다.</p>
          <p contents-hash="2607b7b5cf4b61598ef30d99fc7e2b6530916af84032c79203537095c31c960d" dmcf-pid="VQUfNUZvvG" dmcf-ptype="general">AI 모델이 존재하지 않는 가짜 패키지를 생성하는 환각 현상도 위협 요인이다. 이를 막기 위해 승인된 레지스트리 내부 패키지만 사용하고, 최신 태그 대신 검증을 마친 특정 버전을 고정해야 한다. 권한 통제도 중요하다. 에이전트는 신뢰할 수 없는 입력 통제, 민감 데이터 접근, 외부 통신 3가지 권한 중 2가지만 가져야 한다는 원칙 준수가 필요하다.</p>
          <p contents-hash="7309ef3a8189f518034f225886840bc9ed7c7f5a3f22b86940e7c196247753a3" dmcf-pid="fxu4ju5TSY" dmcf-ptype="general">정 엔지니어는 운영 환경 보안을 관리하는 '시프트 라이트(Shift Right)' 전략도 짝을 이뤄 가동돼야 한다고 제언했다. 컨테이너 베이스 이미지를 교체해 라이브러리 설치 시 동반되는 취약점을 제거해야 한다. 최소형 이미지를 채택하면 소프트웨어자재명세서(SBOM), 서명, 빌드 출처 증명 확보가 수월해질 수 있기 때문이다.</p>
          <p contents-hash="e7dc35c13cb3d269ce226c973190e142ba58edca98d69603642d02bbbcc25db7" dmcf-pid="4M78A71yWW" dmcf-ptype="general">이에 더해 런타임 환경 도달 가능성을 파악해 보안 취약점 처리 우선순위를 조절하고, 에이전트 가시성(옵저버빌리티)를 확보하는 체계 구축이 동반돼야 한다고 말했다.</p>
          <p contents-hash="261e7f21ca0dc082779ab785b908ec7682d20bf1f1a663d24042cd25d48f4de6" dmcf-pid="8Rz6cztWTy" dmcf-ptype="general">AI 코딩 시대 소프트웨어 공급망 보호는 생존 문제다. 코드 생성 이전 단계부터 최종 배포에 이르는 전 과정에 기계적 강제 게이트를 배치하는 보안 패러다임 전환이 시급하다.</p>
          <p contents-hash="c1cfca005b9c5aa1441c2d42b9853b60d14fbb08f05a658b2ea4ee42e751214f" dmcf-pid="6eqPkqFYST" dmcf-ptype="general">정 엔지니어는 "기계가 반복적인 정책 검사로 불량 코드를 차단한다면 사람은 요구 의도 파악과 위험 수용 등 최종 책임을 져야 한다"고 설명했다. 또한 "코드 생성 이전 단계에 첫 방어선을 구축하고, 도구 호출부터 배포에 이르는 전 과정에 강제 게이트를 적용해야 한다"고 당부했다.</p>
         </section> 
        </div> 
        <p class="" data-translation="true">Copyright © 디지털데일리. All rights reserved. 무단 전재 및 재배포 금지.</p>

댓글 총 0개

이번주 포인트랭킹

매주 일요일 밤 0시에 랭킹을 초기화합니다.

14,000상품권
23,000상품권
32,000상품권

업체홍보/구인 더보기

지식/노하우 더보기

판매의뢰 더보기

포토 더보기