🤖 AI · IT 교육
바이브 코딩 보안 — 내가 만든 AI 웹앱 안전 점검
AI로 만든 웹앱, 잘 돌아가는데 잠겨 있습니까 — 일부러 열어 둔 샘플 앱을 직접 뚫고 잠가 본 뒤, 4시간 뒤 내 앱의 보안 점수와 조치 목록을 들고 나갑니다
⏱ 교육 시간4시간
🏢 교육 방식기업 출강 · 맞춤 설계
👤 담당 강사김종혁
✅ 핵심 성과'아무도 모르는 주소니까 괜찮다'는 가정이 사라진다 — 공격자도 AI로 자동 탐색하는 시대에 맞는 기본 잠금 습관이 생긴다
클로드 코드 같은 AI 코딩 도구로 PC·NAS·클라우드 폴더를 연결해 업무용 웹앱을 만드는 사람이 빠르게 늘고 있습니다. 문제는 그 앱 뒤에 견적서·고객 명단·계약서 같은 대외비 자료가 그대로 연결돼 있다는 점입니다. 해외에서는 AI로 만든 앱에서 인증 키가 화면 코드에 그대로 실려 나가거나, 데이터베이스 접근 규칙을 켜지 않은 채 배포돼 고객 정보가 통째로 열린 사고가 잇따라 공개됐습니다. 새로운 해킹 기법이 아니라, 오래된 실수가 코딩을 배운 적 없는 사람 손에서 대량으로 반복된 것입니다. 이 과정은 이미 AI로 웹앱을 만들어 본 실무자를 위한 다음 단계입니다. 강사가 여러 웹앱을 직접 운영하며 겪은 API 키 노출 과금 사고와 비정상 접근 시도, 그 뒤 정기 자체 보안점검으로 고친 과정을 교재로 씁니다. 위험을 '세 개의 문' — AI가 읽는 폴더, 내가 만든 앱의 뒷문, 과금 — 으로 나눠 보고, 교육용으로 일부러 열어 둔 샘플 앱을 참가자가 직접 뚫어 본 다음 잠급니다. 마지막에는 자가점검표 30문항으로 자기 앱을 채점합니다. 교육이 끝나면 참가자마다 '내 구성의 위험 지도 · 고친 연결 설정 · 내 앱 보안 점수와 조치 목록 · 사고 대응 순서 한 장'이 남습니다. (50분 모듈 4개, 휴식 3회 포함 총 4시간)
💻 이 주제, 온라인 강의로 먼저 배워보기 →누구를 위한 과정인가요?
클로드 코드 등 AI 코딩 도구로 웹앱이나 자동화를 한 번 이상 만들어 배포해 본 기획·영업·마케팅·경영지원 등 비개발 직군 실무자, 사내에서 직원들이 만든 AI 웹앱의 안전을 책임져야 하는 AI 챔피언·혁신 담당자·정보보호 담당자, 1인 기업·소규모 조직 대표가 대상입니다. 아직 만들어 본 경험이 없다면 '바이브 코딩 입문 — AI로 코딩 없이 웹사이트 만들기'를 먼저 수강하시길 권합니다.
무엇을 배우나요?
- AI로 만든 웹앱에서 사고가 나는 경로를 '세 개의 문'(AI가 읽는 폴더 · 앱의 뒷문 · 과금)으로 나눠 설명하고, 내 구성의 위험 지도를 그릴 수 있다
- AI 코딩 도구가 읽는 폴더 범위를 프로젝트 단위로 좁히고, 대외비 폴더는 읽기 전용 계정과 차단 목록으로 분리할 수 있다
- 문서·웹페이지에 숨은 지시문이 AI를 조종하는 원리(프롬프트 인젝션)를 이해하고, AI가 읽는 것은 '명령이 아니라 자료'라는 원칙을 작업 방식에 적용할 수 있다
- 화면 코드에 노출된 키와 꺼져 있는 데이터베이스 접근 규칙을 샘플 앱에서 직접 찾아 뚫어 보고, 키 교체 · 규칙 설정 · 지출 상한으로 잠글 수 있다
- 자가점검표 30문항으로 내 앱을 채점해 조치 우선순위를 정하고, 사고가 났을 때의 대응 순서(폐기 → 재발급 → 기록 확인 → 통지)를 한 장으로 정리할 수 있다
커리큘럼
모듈1 : 사고는 이렇게 난다 — 실제 사례와 세 개의 문 (50분)
- 실제 사고 5건 읽기 — 화면 코드에 실린 키, 꺼진 접근 규칙, 남의 프로젝트가 읽히는 권한 누락, 악성 저장소의 키 탈취, 취약한 연결 도구
- 강사 사례 : API 키 노출로 수십만 원이 과금된 날과, 운영 중인 앱에서 비정상 접근 시도를 발견한 날
- 사고를 돈과 시간으로 환산하기 — 과금 · 복구 시간 · 고객 통지 · 신뢰 비용
- 세 개의 문 — ① AI가 읽는 폴더 ② 내가 만든 앱의 뒷문 ③ 과금
- 실습 : 내 구성의 위험 지도 한 장 그리기 — 어떤 폴더가, 어떤 앱에, 어떤 키로 연결돼 있는가
모듈2 : 첫 번째 문 — AI가 읽는 폴더 (50분)
- 홈 폴더 전체를 열어 준 것과 프로젝트 폴더만 연 것의 차이 — 최소 권한 원칙
- 시연 : 문서 속 숨은 지시문이 AI를 조종해 다른 파일을 읽게 만드는 과정(프롬프트 인젝션)
- NAS · 클라우드 드라이브 연결 원칙 — 읽기 전용 계정, 대외비 폴더 분리, 읽기와 쓰기 가르기
- AI 코딩 도구의 권한 설정 · 차단 목록 · 연결 도구(MCP) 고르는 기준 — 출처를 모르는 연결 도구를 붙이지 않는다
- 실습 : 내 PC의 AI 작업 폴더 범위와 차단 목록 한 곳 고치기
모듈3 : 두 번째 문 — 내가 만든 앱의 뒷문과 과금 (50분)
- 실습 ① 키 찾기 : 교육용 샘플 앱의 화면 코드에서 노출된 키를 브라우저 개발자 도구로 직접 찾아낸다
- 실습 ② 규칙 뚫기 : 접근 규칙이 꺼진 데이터베이스에서 남의 자료가 읽히는 것을 직접 확인한다
- 잠그기 : 키는 서버 쪽으로, 접근 규칙은 '기본 거부'로 — 고친 뒤 같은 방법으로 다시 뚫어 막혔는지 확인
- 세 번째 문 과금 — 프로젝트별 키 분리, 월 지출 상한, 이상 사용 경보, 정기 교체
- AI에게 보안 점검을 시키는 프롬프트 — '이 앱에서 로그인 없이 읽히는 것을 전부 찾아 줘'
모듈4 : 점검하고, 사고에 대비한다 (50분)
- 자가점검표 30문항으로 내 앱 채점 — 폴더 · 키 · 접근 규칙 · 과금 · 기록 · 대응 여섯 영역
- 점수 읽는 법과 조치 우선순위 — 오늘 고칠 것, 이번 주에 고칠 것, 분기 점검으로 넘길 것
- 사고 대응 순서 한 장 — 키 폐기 → 재발급 → 사용 기록 확인 → 피해 범위 판단 → 통지
- 개인정보가 섞여 있었다면 — 개인정보 보호법의 안전조치 의무와 72시간 이내 유출 통지 · 신고 절차
- 정기 점검으로 만들기 — 분기 1회 같은 점검표로 다시 재는 운영 루프, Q&A
이 과정에서 쓰는 도구
기대 효과 / 수료 후
- '아무도 모르는 주소니까 괜찮다'는 가정이 사라진다 — 공격자도 AI로 자동 탐색하는 시대에 맞는 기본 잠금 습관이 생긴다
- 키 한 번 노출이 수십만 원 과금으로 이어지는 사고를 구조적으로 막는다 — 키 분리 · 지출 상한 · 이상 사용 경보가 설정으로 남는다
- 대외비 자료와 AI 작업 폴더가 분리된다 — 어느 폴더를 어떤 도구가 읽는지 한 장의 지도로 관리한다
- 보안이 '한 번의 점검'이 아니라 '정기 점검'이 된다 — 자가점검표와 점수로 분기마다 같은 기준으로 다시 잴 수 있다
관련 강의
추천 온라인 강의
온라인 강의로 먼저 배워보기
출강 도입 전에, 이 주제의 핵심을 온라인 강의로 미리 경험해 보세요.
자주 묻는 질문
클로드 코드 등 AI 코딩 도구로 웹앱이나 자동화를 한 번 이상 만들어 배포해 본 기획·영업·마케팅·경영지원 등 비개발 직군 실무자, 사내에서 직원들이 만든 AI 웹앱의 안전을 책임져야 하는 AI 챔피언·혁신 담당자·정보보호 담당자, 1인 기업·소규모 조직 대표가 대상입니다. 아직 만들어 본 경험이 없다면 '바이브 코딩 입문 — AI로 코딩 없이 웹사이트 만들기'를 먼저 수강하시길 권합니다.
네. 보안 전문 용어 대신 '세 개의 문'이라는 쉬운 지도로 설명하고, 실습은 브라우저와 AI 코딩 도구만으로 진행합니다. 다만 AI로 앱을 한 번은 만들어 본 경험이 있어야 모듈3 실습을 시간 안에 따라올 수 있습니다.
아닙니다. 교육용으로 일부러 취약하게 만들어 둔 샘플 앱만 대상으로 합니다. 타인의 서비스나 회사 운영 시스템은 건드리지 않으며, 허락받지 않은 시스템을 시험하는 것은 불법이라는 점을 첫 시간에 분명히 안내합니다.
개인 노트북과 크롬 브라우저, 평소 쓰는 AI 코딩 도구 계정(Claude 유료 계정 권장)이 필요합니다. 본인이 만든 웹앱이 있다면 주소와 설정 화면에 접속할 수 있게 준비해 오시면 모듈4에서 바로 채점할 수 있습니다. 교육 전 사전 안내문으로 다시 안내해 드립니다.
이 과정은 가장 흔한 사고 경로를 스스로 찾아 잠그는 기본기를 다루며, 전문 보안 진단이나 모의해킹을 대신하지 않습니다. 고객 개인정보나 결제를 다루는 서비스라면 교육 후 전문 진단을 별도로 받으시길 권합니다. 대신 교육이 끝나면 어디가 열려 있는지와 무엇부터 고칠지를 점수와 목록으로 알게 됩니다.
다른 과정이 AI로 '만드는 법'을 다룬다면, 이 과정은 만든 것을 '지키는 법'을 다룹니다. 새 기능을 만들지 않고, 이미 만든 앱과 연결된 폴더·키·접근 규칙을 점검하는 데 4시간을 모두 씁니다. 바이브 코딩 교육을 마친 조직의 후속 과정으로 편성하기 좋습니다.
바이브 코딩 보안 — 내가 만든 AI 웹앱 안전 점검
AI로 만든 웹앱, 잘 돌아가는데 잠겨 있습니까 — 일부러 열어 둔 샘플 앱을 직접 뚫고 잠가 본 뒤, 4시간 뒤 내 앱의 보안 점수와 조치 목록을 들고 나갑니다
교육 목표
- AI로 만든 웹앱에서 사고가 나는 경로를 '세 개의 문'(AI가 읽는 폴더 · 앱의 뒷문 · 과금)으로 나눠 설명하고, 내 구성의 위험 지도를 그릴 수 있다
- AI 코딩 도구가 읽는 폴더 범위를 프로젝트 단위로 좁히고, 대외비 폴더는 읽기 전용 계정과 차단 목록으로 분리할 수 있다
- 문서·웹페이지에 숨은 지시문이 AI를 조종하는 원리(프롬프트 인젝션)를 이해하고, AI가 읽는 것은 '명령이 아니라 자료'라는 원칙을 작업 방식에 적용할 수 있다
- 화면 코드에 노출된 키와 꺼져 있는 데이터베이스 접근 규칙을 샘플 앱에서 직접 찾아 뚫어 보고, 키 교체 · 규칙 설정 · 지출 상한으로 잠글 수 있다
- 자가점검표 30문항으로 내 앱을 채점해 조치 우선순위를 정하고, 사고가 났을 때의 대응 순서(폐기 → 재발급 → 기록 확인 → 통지)를 한 장으로 정리할 수 있다
기대 효과
- '아무도 모르는 주소니까 괜찮다'는 가정이 사라진다 — 공격자도 AI로 자동 탐색하는 시대에 맞는 기본 잠금 습관이 생긴다
- 키 한 번 노출이 수십만 원 과금으로 이어지는 사고를 구조적으로 막는다 — 키 분리 · 지출 상한 · 이상 사용 경보가 설정으로 남는다
- 대외비 자료와 AI 작업 폴더가 분리된다 — 어느 폴더를 어떤 도구가 읽는지 한 장의 지도로 관리한다
- 보안이 '한 번의 점검'이 아니라 '정기 점검'이 된다 — 자가점검표와 점수로 분기마다 같은 기준으로 다시 잴 수 있다
커리큘럼
Module 1모듈1 : 사고는 이렇게 난다 — 실제 사례와 세 개의 문 (50분)
- 실제 사고 5건 읽기 — 화면 코드에 실린 키, 꺼진 접근 규칙, 남의 프로젝트가 읽히는 권한 누락, 악성 저장소의 키 탈취, 취약한 연결 도구
- 강사 사례 : API 키 노출로 수십만 원이 과금된 날과, 운영 중인 앱에서 비정상 접근 시도를 발견한 날
- 사고를 돈과 시간으로 환산하기 — 과금 · 복구 시간 · 고객 통지 · 신뢰 비용
- 세 개의 문 — ① AI가 읽는 폴더 ② 내가 만든 앱의 뒷문 ③ 과금
- 실습 : 내 구성의 위험 지도 한 장 그리기 — 어떤 폴더가, 어떤 앱에, 어떤 키로 연결돼 있는가
Module 2모듈2 : 첫 번째 문 — AI가 읽는 폴더 (50분)
- 홈 폴더 전체를 열어 준 것과 프로젝트 폴더만 연 것의 차이 — 최소 권한 원칙
- 시연 : 문서 속 숨은 지시문이 AI를 조종해 다른 파일을 읽게 만드는 과정(프롬프트 인젝션)
- NAS · 클라우드 드라이브 연결 원칙 — 읽기 전용 계정, 대외비 폴더 분리, 읽기와 쓰기 가르기
- AI 코딩 도구의 권한 설정 · 차단 목록 · 연결 도구(MCP) 고르는 기준 — 출처를 모르는 연결 도구를 붙이지 않는다
- 실습 : 내 PC의 AI 작업 폴더 범위와 차단 목록 한 곳 고치기
Module 3모듈3 : 두 번째 문 — 내가 만든 앱의 뒷문과 과금 (50분)
- 실습 ① 키 찾기 : 교육용 샘플 앱의 화면 코드에서 노출된 키를 브라우저 개발자 도구로 직접 찾아낸다
- 실습 ② 규칙 뚫기 : 접근 규칙이 꺼진 데이터베이스에서 남의 자료가 읽히는 것을 직접 확인한다
- 잠그기 : 키는 서버 쪽으로, 접근 규칙은 '기본 거부'로 — 고친 뒤 같은 방법으로 다시 뚫어 막혔는지 확인
- 세 번째 문 과금 — 프로젝트별 키 분리, 월 지출 상한, 이상 사용 경보, 정기 교체
- AI에게 보안 점검을 시키는 프롬프트 — '이 앱에서 로그인 없이 읽히는 것을 전부 찾아 줘'
Module 4모듈4 : 점검하고, 사고에 대비한다 (50분)
- 자가점검표 30문항으로 내 앱 채점 — 폴더 · 키 · 접근 규칙 · 과금 · 기록 · 대응 여섯 영역
- 점수 읽는 법과 조치 우선순위 — 오늘 고칠 것, 이번 주에 고칠 것, 분기 점검으로 넘길 것
- 사고 대응 순서 한 장 — 키 폐기 → 재발급 → 사용 기록 확인 → 피해 범위 판단 → 통지
- 개인정보가 섞여 있었다면 — 개인정보 보호법의 안전조치 의무와 72시간 이내 유출 통지 · 신고 절차
- 정기 점검으로 만들기 — 분기 1회 같은 점검표로 다시 재는 운영 루프, Q&A
강사소개
김종혁 대표강사
현업 경력 10년 / 강의 경력 15년 (3,000여회 강의)
학력
ㆍ고려대 경영전문대학원 MBA (졸업 ) 경영학 석사 (심화전공 - 마케팅)
ㆍ성균관대 컨설턴트 과정 (수료)
ㆍ서강대 경영전문대학원 단기 MBA (수료)
ㆍ서울대 평생교육 강사육성과정 (수료)
ㆍ중앙대 영어영문학과 (졸업) 영문학 학사
경력
ㆍ(現) 나눔경영컨설팅 (NANUM Consulting) 대표
ㆍ(前)(주)효성, (주)대덕전자, (주)신한다이아몬드 해외주재원, 전략기획 담당 (10年↑)
ㆍ(現) 엑스퍼트컨설팅 협력강사
ㆍ(現) PSI컨설팅 협력강사
ㆍ(現) 중소기업청, 중소기업연수원 협력강사
자격 · 저서
ㆍ컨설턴트 자격증 보유
ㆍ교사자격증 보유
ㆍIDEO 디자인씽킹 공식교육 수료
ㆍB2B 마케팅 설계 (2025.4.1)
ㆍ중국 다이아몬드 공구시장 현황과 미래 (한국 공구협회 공저)
ㆍ역사를 바꾼 전투와 혁신적인 무기 (집필중)