AI 바이브 코딩이 빚은 의료 정보 유출 참사
의료 기관 종사자가 코딩 지식 없이 AI 코딩 에이전트로 환자 관리 시스템을 구축해 심각한 보안 사고가 발생한 사례입니다. 인증 없이 모든 환자 데이터가 인터넷에 공개되었고, 음성 녹음이 외부 AI 서비스로 무단 전송되며 개인정보 보호법을 위반했습니다. 코딩 에이전트 도구는 편리하지만, 기본적인 보안과 아키텍처 지식 없이 무분별하게 사용할 경우 치명적인 결과를 초래할 수 있음을 보여줍니다.
드디어 일어나고야 말았습니다. 제게 직접적인 영향을 미친, 현실 세계에서 발생한 첫 번째 'AI 바이브 코딩(Vibe Coding)' 공포 사례입니다. (독일 버전)
병원 진료 예약을 위해 방문했을 때, 친절한 직원이 맞아주었습니다. 환영 인사를 나눈 직후, 그 사람은 요즘 누구나 AI를 사용해 너무나도 쉽게 소프트웨어를 만들 수 있다는 영상을 봤다고 말했습니다. 그러면서 영감을 얻었답니다. '검증된 산업용 솔루션을 굳이 쓸 필요가 있을까? 내가 직접 환자 관리 시스템을 만들면 되지 않을까?'라고 말이죠. 그리고 실제로 그렇게 했습니다.
코딩 에이전트를 실행시켜 맞춤형 환자 관리 애플리케이션을 만들고, 기존의 모든 환자 데이터를 시스템에 가져온 뒤 인터넷에 공개했습니다. 심지어 진료 중인 대화를 녹음하여 오디오 파일을 한 곳이 아닌 두 곳의 AI 서비스로 보내 자동 요약을 생성하는 기능까지 추가했습니다. 더 이상 수동으로 메모를 할 필요가 없어졌다는 것이죠.
하지만 잘못될 수 있는 모든 것들이 완전히 잘못되었습니다. 며칠 후, 저는 그 애플리케이션을 이리저리 살펴보기 시작했습니다. 30분도 채 지나지 않아 저는 모든 환자 데이터에 대한 완전한 읽기 및 쓰기 접근 권한을 확보했습니다. 모든 데이터는 암호화조차 되어 있지 않았고 완전히 열린 인터넷에 노출되어 있었습니다. 제가 제일 먼저 한 일은 즉시 그 사람에게 이 사실을 알리는 것이었습니다.
그리고 받은 답변은 100% AI가 생성한 텍스트였습니다. 제 신고에 대해 따뜻하게 감사를 표하고, 기본 인증(Authentication)을 추가하고 일부 접근 키를 교체하는 즉각적인 조치를 취했다고 확신시켜 주었습니다.
이 사람은 자신이 무엇을 만들었는지, 그리고 그 결과가 얼마나 끔찍할 수 있는지 전혀 알지 못했습니다. 데이터가 단순히 뚫려있었던 것 이상이었습니다. 미국 서버에 데이터 처리 위임 계약(DPA) 없이 데이터가 저장되고 있었고, 음성 녹음은 미국의 주요 AI 기업들로 전송되고 있었으며, 저는 이러한 일이 발생하고 있다는 사실을 전혀 통보받지 못했습니다. 이것은 결코 의료 환자 데이터를 다루는 방식이 아닙니다. 비록 제가 변호사는 아니지만, 이들은 거의 확실하게 독일 연방 데이터 보호법(nDSG)의 여러 조항과 직업상 비밀유지 의무(Berufsgeheimnis)를 위반했습니다.
기술적 배경 이 애플리케이션의 전체 시스템은 단 하나의 HTML 파일이었습니다. 모든 자바스크립트(JavaScript), CSS, 구조가 파일 내부에 인라인으로 작성되어 있었습니다. 백엔드(Backend)는 접근 제어 설정이 전혀 없고 행 수준 보안(Row-level security)도 없는 관리형 데이터베이스 서비스였습니다. 모든 '접근 제어' 로직은 클라이언트 측의 자바스크립트에만 존재했습니다. 즉, 소스 코드를 본 사람이라면 누구나 단 한 번의 curl 명령어로 모든 데이터에 접근할 수 있었던 것입니다. 또한 모든 음성 녹음은 전사(Text-to-speech) 및 요약을 위해 외부 AI API로 직접 전송되었습니다. 더 많은 문제가 있었지만, 상황을 이해하기에는 이 정도면 충분합니다.
전망 이것은 제가 기대하던 AI의 미래가 아닙니다. 개인적으로 저 역시 AI 코딩 에이전트를 사용하지만, 제 시스템 내부에서 어떤 일이 일어나고 있는지 이해할 수 있고, 코드를 읽을 수 있으며, 소프트웨어 아키텍처에 대한 기본 지식이 있습니다. 그저 AI에만 의존해 감으로 코딩(Vibing away)하는 사람들이 분명 우리에게 행복한 미래를 가져다주지는 못할 것입니다.