인공지능 웹사이트 안전점검이 새 상품이 된다

빠른 제작 뒤에 남은 빈틈

인공지능 제작 도구는 자연어로 앱을 빠르게 만들어 준다. 그러나 화면이 작동한다고 해서 결제업체나 저장공간에 접속하는 비밀 연결 정보와 관리자 권한까지 안전하게 나뉘었다는 뜻은 아니다.

2026년 2월 보안업체 Wiz는 인공지능으로 제작된 소셜 서비스 Moltbook에서 약 475만 건의 자료, 인증 정보 150만 개, 이메일 3만5,000개가 노출됐다고 보고했다. 웹페이지 안의 공개용 연결 정보와 잘못 설정된 자료 접근 규칙이 합쳐지면서 로그인하지 않은 사람도 자료를 읽거나 바꿀 수 있었다는 설명이다.

여기서 중요한 점은 웹페이지에서 연결 정보가 보인다는 사실만으로 사고라고 단정할 수 없다는 것이다. Supabase처럼 브라우저에서 쓰도록 만든 공개용 정보도 있으며, 실제 위험은 서버에만 있어야 할 비밀값이 공개됐거나 공개용 정보로 중요한 자료까지 열리는 경우다.

Cyble은 2026년 10월 신규 웹주소 130만 개 이상을 살펴 인공지능 제작 사이트 2만2,306개를 분류했고, 그중 35개에서 서버에만 있어야 할 비밀값을 발견했다고 발표했다. 결제, 인공지능 사용료, 자료 저장공간에 연결되는 정보가 포함됐지만, 이는 보안업체가 자체 방식으로 분류하고 검사한 결과이므로 전체 사이트의 발생 비율로 확대해 해석해서는 안 된다.

한국인터넷진흥원과 과학기술정보통신부는 2026년 외부 노출 자산을 확인하는 공격표면관리 지원을 운영하고 있다. 단순히 위험을 찾아주는 일은 공공 지원과 기존 도구가 맡을 수 있으므로, 새 서비스는 발견 뒤에 무엇을 바꾸고 언제 다시 확인할지까지 해결해야 돈을 받을 수 있다.

새 예산을 쥔 사람은 사이트 운영자다

직원 열두 명인 반찬 정기배송 업체의 운영팀장을 떠올려 보자. 별도 보안 담당자는 없고, 운영팀장이 주문 사이트 개장일과 결제 성공률, 문자 발송, 고객 문의를 함께 책임진다.

이 운영팀장은 인공지능 제작 도구로 주문 화면을 만든 뒤 결제업체, 문자 발송업체, 자료 저장공간의 연결 정보를 설정한다. 같은 값을 업체 관리화면에서 복사해 제작 도구 입력창, 배포 설정, 인수인계 메모까지 세 군데에 옮겨 적지만 어느 값이 공개돼도 되는지는 알기 어렵다.

관리자 화면도 주소만 복잡하게 만들면 충분하다고 생각하기 쉽다. 실제로는 일반 인터넷에서 열리는지, 비밀번호 외에 추가 본인 확인이 있는지, 일반 고객 계정이 관리자 기능에 접근할 수 없는지를 따로 살펴야 한다.

이 글에서 가정하는 구매자는 운영팀장이나 제작대행사 대표다. 이들은 어려운 위험 점수보다 예정일에 공개할 수 있는지, 결제가 멈출 가능성이 있는지, 외주업체와 관계를 끝내도 운영할 수 있는지를 중요하게 여긴다고 가정한다.

따라서 첫 결과는 긴 보고서보다 ‘지금 공개 가능’, ‘이 항목을 바꾼 뒤 공개’, ‘즉시 사용 중지’처럼 행동으로 나뉘어야 한다. 결제·문자·저장 기능별로 발견 위치, 바꿀 사람, 완료 기한과 재확인 결과를 한 화면에 보여주는 편이 구매자의 일에 가깝다.

서비스가 자동으로 할 수 있는 일은 웹페이지에 서버용 비밀값의 흔적이 있는지, 관리자 로그인 화면이 외부에서 열리는지, 오래된 시험용 주소가 남았는지 확인하는 데까지다. 공개용 연결 정보의 권한이 적절한지 보려면 소유자의 허가와 관리화면의 읽기 권한이 필요하며, 허가받지 않은 다른 회사 사이트를 시험해서는 안 된다.

사람 손에 남는 일도 분명하다. 노출된 정보를 폐기하고 새로 발급하는 일, 누가 자료를 열어봤는지 기록을 확인하는 일, 고객에게 알려야 하는지 판단하는 일은 운영자와 해당 분야 전문가가 맡아야 한다. 그러므로 팔아야 할 것은 검사 한 번이 아니라 ‘발견-교체-영향 확인-재검사’를 끝내 주는 과정이다.

해외에서는 제작과 점검을 묶고 있다

미국의 Replit은 자연어로 앱을 만드는 서비스 안에 비밀정보 검사와 보안 검토를 넣었다. 사용자가 연결 정보를 코드에 붙이면 별도 보관공간으로 옮기도록 안내하던 기능에서 시작해, 지금은 공개 전 코드와 사용 중인 부품까지 함께 살피는 보안 기능으로 넓혔다.

연간 결제 조건의 기본 유료 상품은 월 약 2만4,000원부터이며 점검 기능은 제작·공개 환경에 포함된다. Replit은 큰 프로젝트의 집중 검사가 최대 15분, 전체 검토가 1시간 안에 끝나는 것을 목표로 하며 문제가 아닌 것을 문제로 잡는 비율을 90% 줄였다고 밝혔지만 공급사 자체 수치다.

미국 GitHub는 온라인 코드 보관함에 올라온 비밀 연결 정보를 찾는다. 공개 코드 검사는 무료이며, 새 코드가 올라가기 전에 문제를 발견하면 업로드를 막는 방식으로 예방 범위를 넓혔다.

GitHub는 2024년 한 해에 3,900만 개가 넘는 비밀정보 노출을 발견했다고 발표했다. GitHub는 비밀정보를 탐지하고 경고하거나 새 코드가 올라가기 전에 업로드를 차단하므로, 누가 언제 새 값으로 바꾸고 과거 사용 기록을 확인할지 관리하는 서비스는 후속 조치를 맡을 수 있다.

영국의 Cyber Essentials는 점검표 이행과 제3자 확인을 묶어 인증으로 판매한다. 가장 작은 조직의 기본 인증은 약 58만원에 부가세부터 시작하며, 상위 단계에서는 실제 장비와 설정을 추가로 확인한다.

영국 기업 Marl은 인증 뒤 매달 내부 점검과 사용 중인 장비 검사를 운영하게 됐고, 고객사가 인증을 계약 조건으로 요구하면서 영업에도 활용했다. 안전점검을 기술 보고서가 아니라 거래처에 보여줄 수 있는 완료 증명으로 바꾸면 운영비나 수주 예산에서도 결재될 수 있다는 사례다.

여기서 만들 수 있는 네 가지

1. 공개 전 통과 확인서

• 무엇을 하나: 웹사이트를 공개하기 전에 비밀 연결 정보, 외부에 열린 관리자 화면, 남아 있는 시험용 주소를 확인하고 조치 완료서를 만든다.
• 누가 쓰나: 인공지능 제작 도구로 예약·결제 사이트를 처음 만든 일인 사업자와 작은 운영팀이 쓴다.
• 왜 지금인가: 제작 속도는 빨라졌지만 공개 여부를 최종 판단해 줄 개발자나 보안 담당자가 없는 경우가 늘고 있다.
• 첫 화면: 웹사이트 주소 입력칸, 소유자 확인 버튼, 결제·문자·자료 저장 기능 선택란을 놓는다.

2. 가게 사이트 월간 안전 확인

• 무엇을 하나: 매달 관리자 화면 노출, 새로 생긴 시험 주소, 만료되지 않은 외주 계정과 이전 점검의 미조치 항목을 다시 확인한다.
• 누가 쓰나: 온라인 예약과 선결제를 받지만 전담 관리자가 없는 미용실·공방·소규모 학원이 쓴다.
• 왜 지금인가: 사이트를 처음 공개할 때 안전했어도 기능 추가와 외주업체 교체 뒤 설정이 달라질 수 있다.
• 첫 화면: 이번 달 상태, 마지막 확인일, 아직 바꾸지 않은 항목, 담당자에게 재촉하기 버튼을 놓는다.

3. 제작대행 인수 검사

• 무엇을 하나: 외주 제작이 끝날 때 관리자 계정, 결제 연결 정보, 자료 저장공간과 운영 권한이 발주자에게 제대로 넘어왔는지 확인한다.
• 누가 쓰나: 인공지능을 활용하는 프리랜서나 소형 제작사에 회원·예약 사이트를 맡긴 지역 업체가 쓴다.
• 왜 지금인가: 빠르게 만든 사이트는 공개는 됐지만 누가 원본과 중요 계정을 소유하는지 정리되지 않은 채 인계될 수 있다.
• 첫 화면: 서비스 주소, 제작사 계약 종료일, 넘겨받은 계정 목록과 ‘제작사 없이 운영 가능’ 확인란을 놓는다.

4. 노출 발견 뒤 교체 안내

• 무엇을 하나: 문제가 발견되면 기존 연결 정보를 멈추고 새 값으로 교체하며 사용 기록과 고객 안내 필요 항목을 순서대로 관리한다.
• 누가 쓰나: 결제업체나 문자업체에서 낯선 사용 알림을 받은 작은 쇼핑몰 운영자가 쓴다.
• 왜 지금인가: 자동 검사는 위험을 알려줄 수 있지만 초보 운영자는 어느 값을 먼저 멈추고 어디까지 확인해야 하는지 알기 어렵다.
• 첫 화면: 결제·문자·자료 저장 중 문제가 생긴 기능을 고르게 하고 ‘기존 정보 중지’, ‘새 정보 발급’, ‘기록 확인’, ‘재검사’ 순서를 보여준다.

오늘 확인해 볼 것

최근 인공지능으로 사이트를 공개한 운영자 한 명과 30분 동안 화면을 보며 결제·문자·자료 저장 연결 정보가 어디에 보관됐는지만 찾아보자. 실제 값은 보여 달라고 하지 말고, 10분 안에 위치와 교체 방법을 설명하지 못하거나 제작 도구 대화창과 인수인계 문서에 같은 값을 넣었다면 공개 전 점검이나 인수 검사부터 시험해 볼 만하다.