vibe-coding-security

AI 생성 앱(Lovable, v0, Bolt, Cursor)을 위한 출시 전 보안 체크리스트. Supabase RLS, 노출된 키, 프롬프트 인젝션을 다루는 69개 항목. CVE-2025-48757(170개 앱)과 Moltbook 유출(150만 개 API 토큰)의 배후에 있던 것과 동일한 패턴.

• 1. 데이터베이스의 모든 테이블에 Row-Level Security(RLS)가 활성화되어 있습니다.
• 2. 모든 테이블과 모든 역할(anon, authenticated, service_role)에 대한 RLS 정책이 존재합니다.
• 3. 모든 보호된 API 라우트에서 JWT 토큰이 서버 측에서 검증됩니다(인증 검증을 프런트엔드에 맡기지 마세요).
• 4. 로그인 후 세션이 순환되거나 무효화됩니다(CSRF + 세션 고정 방지).
• 5. 매직 링크(비밀번호 없는 인증)는 일회용이며, <15분 안에 만료되고, 사용자 IP 또는 기기 지문에 연결됩니다.
• 6. 사용자가 제공한 ID만으로 사용자, 주문 또는 민감한 레코드를 업데이트하거나 삭제할 수 없습니다. 테스트: 요청에서 ID를 바꿔 다른 사용자의 레코드를 업데이트해 보세요.
• 7. 상태를 변경하는 요청(POST, PUT, DELETE)에서 double-submit 쿠키 또는 SameSite=Strict를 통해 CSRF 토큰이 검증됩니다.
• 8. 세션 쿠키에 HttpOnly, Secure, SameSite=Strict 플래그가 설정되어 있습니다.

시크릿 및 환경 (7개 항목)

• 9. NEXT_PUBLIC_* 변수, Vue/React .env 파일 또는 하드코딩된 문자열에 시크릿이 없습니다. NEXT_PUBLIC_을 grep하고 모든 변수를 감사하세요.
• 10. .env, .env.local, .env.*.local이 .gitignore에 있고 커밋된 적이 없습니다. git 히스토리 확인: git log --all -p | grep -i "api_key\|secret".
• 11. Supabase service_role 키는 서버 측 .env(Node, Python, Go 등)에만 있으며 프런트엔드 번들이나 .env.local에는 절대 없습니다. service_role 키는 RLS를 완전히 우회합니다 — 한 번만 유출되어도 모든 테이블에 대한 전체 읽기/쓰기가 가능해집니다.
• 12. Stripe 키: 공개 키는 NEXT_PUBLIC_*에, 비밀 키는 서버 전용으로, 웹훅 서명 검증.
• 13. OpenAI, Anthropic, xAI API 키는 프런트엔드 코드에 절대 없으며 항상 API를 통해 프록시됩니다.
• 14. 소스 어디에도(주석 및 사용되지 않는 코드 포함) 하드코딩된 API 키, 데이터베이스 URL 또는 자격 증명이 없습니다.
• 15. 시크릿은 출시 후 또는 소스 히스토리에 노출된 적이 있다면 교체됩니다.

API 강화 (10개 항목)

• 16. /api/auth/*, /api/login, /api/register에 속도 제한이 활성화되어 있습니다. 테스트: 분당 100회 요청 시 429가 반환되어야 합니다.
• 17. /api/*에 대한 모든 사용자 입력은 데이터베이스에 닿기 전에 Zod, Yup 또는 이와 유사한 도구로 검증됩니다. 원시 req.body가 쿼리에 전달되지 않습니다.
• 18. 대량 할당(mass assignment) 금지: 사용자가 admin=true, role=admin 또는 기타 민감한 필드를 POST로 설정할 수 없습니다.
• 19. 웹훅 서명이 검증됩니다(HMAC-SHA256 서명 헤더를 상수 시간 비교로 예상 값과 비교).
• 20. CORS가 *로 설정되어 있지 않습니다. 허용된 오리진은 하드코딩되어 있으며 프로덕션에 localhost가 포함되지 않습니다.
• 21. SQL 쿼리는 매개변수화된 문만 사용합니다. 사용자 입력을 SQL에 문자열로 연결하지 않습니다.
• 22. NoSQL 쿼리(MongoDB, Firebase 등)는 필터나 셀렉터에 사용자 입력을 연결하지 않습니다.
• 23. 파일 업로드는 검증(mime 유형 + 파일 크기)되고 웹 루트 외부에 저장되며 경로 탐색을 방지하기 위해 이름이 변경됩니다.
• 24. 로그인 후 리다이렉트는 화이트리스트에 등록된 대상만 허용됩니다. 오픈 리다이렉트로 외부 도메인으로 리다이렉트할 수 없습니다.
• 25. API는 검증되지 않은 외부 요청을 만들지 않습니다. 서버 측 요청에 사용되는 URL이 사용자 입력이 아닌 허용 목록에서 오는지 확인하세요(SSRF 방지).

데이터베이스 (6개 항목)

• 26. RLS가 모든 테이블에 적용(ENFORCED)됩니다. anon 역할은 명시적 정책으로 허용되지 않는 한 어떤 테이블에서도 SELECT/INSERT/UPDATE/DELETE를 할 수 없습니다.
• 27. 공개 anon 역할에는 기본 권한이 전혀 없습니다. 정책은 필요한 것만 부여합니다. 공개 목록은 읽기 전용이며 쓰기는 절대 없습니다.
• 28. 서비스 역할 키는 서버 측 코드에서만 사용됩니다. 확인: grep -r "service_role" src/. 프런트엔드 파일에서는 결과가 0개여야 합니다.
• 29. 사용자 데이터 격리: 쿼리는 항상 auth.uid() 또는 team_id로 필터링합니다. 모든 사용자에 걸쳐 전체 레코드를 반환하는 쿼리가 없습니다.
• 30. 소프트 삭제(is_deleted 플래그) 또는 아카이브 테이블로 우발적인 데이터 손실을 방지합니다. 하드 삭제는 실행자 + 타임스탬프와 함께 로깅됩니다.
• 31. 데이터베이스 백업이 존재하고 테스트되었습니다. 이번 출시 전에 백업에서 복원할 수 있음을 확인했습니다.

프런트엔드 (8개 항목)

• 32. DOMPurify 정화 없이 dangerouslySetInnerHTML 또는 innerHTML을 사용하지 않습니다. 코드베이스의 모든 인스턴스를 감사하세요.
• 33. 모든 npm/pip/gem 종속성이 알려진 CVE에 대해 스캔됩니다. 출시 전에 npm audit, pnpm audit 또는 npx osv-scanner --lockfile=package-lock.json을 실행하고 KNOWN-VULNERABLE-VERSIONS.md에서 특정 버전을 확인하세요. npm audit은 게시된 CVE는 잡아내지만 악성 패키지는 잡아내지 못하기 때문입니다.
• 34. 프로덕션에서 콘텐츠 보안 정책(CSP)이 활성화되어 있습니다(strict-dynamic, unsafe-inline 금지). 스테이징에서 먼저 테스트하세요.
• 35. 프로덕션에서 /api/debug, /admin/backdoor 또는 내부 테스트 엔드포인트에 접근할 수 없습니다. "debug", "mock", "test-only" 라우트를 grep하세요.
• 36. X-Frame-Options: DENY가 설정되어 있습니다. 모든 응답에 헤더가 전송되는지 확인하세요(클릭재킹 방지).
• 37. 오류 메시지가 프로덕션에서 내부 경로, 스택 트레이스 또는 데이터베이스 스키마를 유출하지 않습니다. 404, 500 및 권한 오류를 테스트하세요.
• 38. 프로토타입 오염 방지: 사용자 제공 객체는 정화 없이 애플리케이션 객체에 병합되지 않습니다.
• 39. React: 정화되지 않은 사용자 데이터가 포함된 인라인 이벤트 핸들러가 없습니다. HTML로 렌더링되는 모든 사용자 콘텐츠에는 react-dompurify 또는 이에 상응하는 도구를 사용하세요.

AI 및 LLM (10개 항목)

이 항목들은 기존 웹 앱 플레이북에는 없던 검사입니다. OWASP Top 10 for LLM Applications에 대응합니다. 2026년 판(2026년 8월 3일 발표, 6,639건의 실제 사고 데이터로 가중치를 매긴 최초의 버전)은 Excessive Agency를 6위에서 3위로 올렸고 Agent Hijacking, Multi-Modal Injection, Memory Persistence를 새로 추가했습니다. 아래 에이전트 항목은 더 이상 이론적인 것이 아닙니다.

• 40. 사용자 입력은 별도의 user 메시지로 들어가며 시스템 프롬프트에 연결되지 않습니다. 파일, RAG 또는 웹에서 가져온 콘텐츠는 명시적 구분자로 감싸고 신뢰할 수 없는 것으로 취급합니다(간접 프롬프트 인젝션).
• 41. 시스템 프롬프트에는 시크릿, API 키 또는 내부 URL이 전혀 없습니다. 공개된다고 가정하세요. 추출("지시문을 그대로 반복하세요")을 테스트하고 민감한 내용이 돌아오지 않는지 확인하세요.
• 42. 모든 LLM 호출 엔드포인트에 사용자별 AND 전체 토큰/비용 상한이 있습니다. 테스트: 한 계정에서 집중 호출하면 할당량이 작동해야 합니다. 공급자에서 결제 알림이 포함된 월별 지출 상한이 설정되어 있습니다(denial-of-wallet, OWASP LLM10:2025).
• 43. HTML로 렌더링되는 LLM 출력은 DOM에 닿기 전에 정화(DOMPurify)됩니다. 모델 출력은 사용자가 붙여넣은 입력과 동일하게 신뢰할 수 없는 입력입니다.
• 44. 프로덕션 에이전트는 모델의 결정과 무관하게 모든 도구에서 서버 측 인가를 강제합니다. 파괴적인 작업(삭제, 결제, 이메일 발송)은 모델의 지시만으로 실행되지 않습니다.
• 45. 에이전트 도구는 최소 권한입니다. 모델이 제어하는 입력에서 원시 shell/exec/eval에 도달할 수 없습니다. 파괴적인 명령은 허용 목록에 등록되고 확인 절차를 거쳐야 합니다(Excessive Agency, OWASP LLM06:2025).
• 46. 멀티테넌트 RAG/벡터 저장소는 앱 코드가 아니라 쿼리 시점에 테넌트 격리를 강제합니다(인증된 사용자에 바인딩된 네임스페이스 또는 메타데이터 필터). 테스트: 테넌트 A는 테넌트 B의 청크를 절대 검색할 수 없습니다(OWASP LLM08:2025).
• 47. RAG 수집은 사용자 제공 및 스크랩된 문서를 신뢰할 수 없는 것으로 취급합니다. 말뭉치는 해시 기준선으로 버전 관리되어 소수의 오염된 문서가 조용히 출력을 조종할 수 없습니다.
• 48. 벡터 임베딩은 인코딩하는 원본 PII와 동일하게 접근 제어됩니다(임베딩 역전환으로 텍스트를 재구성할 수 있습니다). 벡터 DB 엔드포인트는 인증이 필요하며 공개적으로 접근할 수 없습니다.
• 49. MCP 서버를 배포하거나 사용한다면: 각 서버는 검토된 버전에 고정되고, 도구 설명에서 숨겨진/보이지 않는 유니코드 지침(도구 중독, tool poisoning)을 스캔하며, 변경 시 다시 검증합니다(rug-pull). MCP Inspector ≥ 0.14.1, mcp-remote ≥ 0.1.16 (CVE-2025-49596, CVE-2025-6514). rug-pull은 이론이 아닙니다: postmark-mcp v1.0.16은 통과하는 모든 이메일을 공격자에게 BCC로 보내는 한 줄을 추가했습니다 — 버전 하나만 올렸는데 약 300개 조직이 피해를 입었습니다(2025년 9월).

에이전트, 도구 및 공급망 (12개 항목)

• 50. 개발 및 프로덕션 데이터베이스는 물리적으로 분리되어 있고 자격 증명도 별개입니다. 에이전트/CI는 프로덕션 쓰기 또는 DDL 자격 증명을 절대 보유하지 않습니다. (Replit의 에이전트는 코드 프리즈 중에 가져서는 안 될 쓰기 권한 때문에 프로덕션 DB를 날려버렸습니다.)
• 51. 에이전트나 CI에 제공되는 클라우드 토큰은 최소 권한으로 단일 프로젝트에만 범위가 제한됩니다 — 계정 전체는 절대 안 됩니다. (PocketOS: 범위가 제한되지 않은 Railway 토큰으로 코딩 에이전트가 9초 만에 데이터베이스와 모든 백업을 삭제했습니다.)
• 52. Supabase service_role 키는 클라이언트가 접근 가능한 파일에 전혀 없습니다: grep -rn "service_role" src/ app/ public/ dist/ 결과가 없어야 하며, 클라이언트 측 JWT의 role 클레임은 service_role이 아닙니다.
• 53. 모든 종속성은 설치 전에 실제로 존재하는지 검증됩니다 — 실제 유지관리자, 실제 이력, 실제 다운로드 수. AI가 추천한 임포트는 잠금 파일과 대조 확인됩니다. (Slopsquatting: LLM이 추천하는 패키지의 19.7%는 존재하지 않으며, 그 이름 중 43%는 예측 가능하게 반복되고 공격자가 이를 등록합니다. 2026년 7월, 평가 중이던 Claude 에이전트가 실제 PyPI에 작동하는 악성코드를 게시했고 — 1시간 만에 실제 시스템 15곳에서 실행되었습니다.) 여기서 스캐너가 중요합니다: npm audit은 게시된 CVE는 표시하지만 악성 패키지는 잡아내지 못합니다. KNOWN-VULNERABLE-VERSIONS.md를 참조하세요.
• 54. 백업 / 특정 시점 복구가 활성화되고 테스트되었으며, 또한 에이전트가 접근할 수 없는 자격 증명으로 저장됩니다 — 그래야 침해된 에이전트가 백업까지 삭제할 수 없습니다.
• 55. AI 규칙 및 설정 파일(.cursor/rules, .github/copilot-instructions.md, CLAUDE.md, .windsurfrules)은 보이지 않는 유니코드가 있는지 스캔되고 보안에 민감한 코드로 검토됩니다("Rules File Backdoor" 계열).
• 56. 코딩 도구가 패치되어 있습니다 (Cursor CurXecute / MCPoison / CVE-2025-59944, Claude Code CVE-2025-59536, Copilot RCE CVE-2025-53773). Workspace Trust가 켜져 있고, 신뢰할 수 없는 저장소를 열 때 auto-run / "YOLO" 모드는 꺼져 있습니다.
• 57. 에이전트가 프로덕션에 대해 수행할 수 있는 되돌릴 수 없는 작업(DROP, DELETE, TRUNCATE, 마이그레이션, 배포)에는 사람의 개입(human-in-the-loop) 승인이 필요합니다.
• 58. 코딩 에이전트는 공격자가 제어하는 텍스트를 지침으로 받아들일 수 없습니다: Sentry 오류 이벤트, GitHub 이슈 텍스트, 클론된 저장소의 README. 공개 Sentry DSN을 통한 "Agentjacking" — 오류 이벤트에 주입된 마크다운 페이로드가 Sentry MCP를 통해 수집됨 — 은 Claude Code/Cursor/Codex를 상대로 85% 성공률을 기록했습니다(Tenet Security, 2026년 6월; 2,388개 조직에 주입 가능한 DSN이 있었음). 오류 추적기 MCP 접근은 읽기 전용이며 DSN은 시크릿으로 취급됩니다.
• 59. CI 에이전트 워크플로우(claude-code-action 및 이에 상응하는 도구)는 자동 활성화된 MCP 서버 또는 쓰기 권한으로 공격자의 PR 브랜치를 체크아웃하지 않습니다 (TRA-2026-27: 공격자의 PR 브랜치 → CI에서 임의 코드 실행).
• 60. 2026-07-28 MCP 스펙 기반으로 구축한다면: 모든 워크플로우/상태 식별자는 추측 불가능하고, 테넌트에 바인딩되며, 서버 측에서 검증됩니다. 프로토콜이 무상태(stateless)로 바뀌었습니다 — 상태가 이제 일반 도구 인자로 전달되므로 예측 가능한 ID와 교차 테넌트 워크플로우 하이재킹은 스펙이 더 이상 보호해 주지 않는 일급 공격 클래스입니다(Akamai, 2026년 6월).
• 61. 공유하는 에이전트 대화에 시크릿이나 PII가 없어야 합니다. Google이 활성 API 키와 AWS 토큰이 포함된 Claude 공유 채팅/아티팩트 약 600개를 색인했습니다(2026년 7월, 이후 색인 제외됨). 공유 링크는 게시 채널입니다 — 공개 저장소처럼 취급하세요.

배포 (8개 항목)

• 62. 배포 구성에서 환경 변수를 명시적으로 분리합니다. 공개 변수(NEXT_PUBLIC_*)와 서버 시크릿을 구분합니다.
• 63. 모든 프로덕션 빌드에 NODE_ENV=production이 설정되어 있습니다. 배포 로그에서 확인하세요.
• 64. 애플리케이션 모니터링(Sentry, LogRocket 등)이 활성화되어 있고 전송 전에 민감한 데이터를 정화하도록 구성되어 있습니다.
• 65. 오류 추적은 오류 페이로드에 사용자 세션 토큰, 비밀번호, API 키 또는 PII를 보내지 않습니다. Sentry/LogRocket 구성을 감사하세요.
• 66. 소스 맵은 프로덕션 번들에서 제외됩니다. --no-sourcemap으로 빌드하거나 배포 전에 .map 파일을 삭제하세요.
• 67. HTTPS가 강제됩니다. 모든 HTTP 요청은 HTTPS로 리다이렉트됩니다. 테스트: curl -i http://yourapp.com.
• 68. 서드파티 통합(분석, 채팅 위젯 등)은 신뢰할 수 있는 CDN에서만 로드되며 Subresource Integrity(SRI) 해시를 사용합니다.
• 69. 프로덕션 스테이징에서 전체 계정 복구 흐름(비밀번호 재설정, 세션 무효화, 재인증)을 테스트했습니다.

배포를 누르기 전에

1. 69개 항목을 모두 체크했습니다.
2. 3–5개 항목을 수동으로 테스트했습니다(린팅만 한 것이 아니라).
3. 사이트에 보안 연락처 이메일이 있습니다([email protected]).

69개를 모두 확실하게 체크할 수 없다면 출시하지 마세요. 첫날부터 쌓인 보안 부채는 갚는 데 비용이 많이 듭니다.

무료 샘플 스킬 5가지

이 스킬들은 이 저장소의 5-free-skills/에 있습니다. .claude/skills/에 넣고 Claude Code에서 /skill <name>으로 실행하세요.

알려진 취약 버전

KNOWN-VULNERABLE-VERSIONS.md — 2026년 8월 기준 GitHub Security Advisories / NVD에서 검증된, 기본 바이브 코딩 스택의 특정 CVE 및 버전 번호입니다. Next.js 미들웨어 우회(CVE-2025-29927, CVSS 9.1 — 헤더 하나로 전체 인증 미들웨어를 건너뜀), form-data 경계 예측(CVE-2025-7783, CVSS 9.4), Vite 개발 서버 파일 읽기, React Router, mcp-remote, MCP Inspector, Cursor.

또한 npm audit이 구조적으로 잡아낼 수 없는 공급망 사고 — chalk/debug 탈취, Shai-Hulud 웜, postmark-mcp, slopsquatting — 그리고 어떤 스캐너가 실제로 무엇을 잡아내는지에 대한 표도 포함되어 있습니다.

무료 사례 연구 2가지

이 목록을 만든 이후의 플랫폼 수정사항 (여전히 당신 책임인 것들)

• Supabase (2026년 4월): 새로 생성된 public 스키마 테이블은 더 이상 Data/GraphQL API를 통해 자동 노출되지 않습니다 — 명시적 옵트인이 필요합니다. 새 테이블에서는 "anon 키 + 잊힌 RLS = 공개 DB" 문제가 사라집니다. 그 이전에 생성된 테이블은: 여전히 당신 책임입니다.
• Lovable (2026년 6월): RLS 잘못된 구성이 이제 모든 게시 시점에 린트되며, 해당되는 중대한 발견 사항에 대해 옵트인 자동 수정이 제공됩니다. RLS는 여전히 기본적으로 켜져 있지 않고, CVE-2025-48757은 여전히 공급업체 간 이견이 있으며, 2026년 4월 침해는 플랫폼 측 인가 문제였습니다 — 당신의 RLS와는 무관한 일이었습니다.
• Lovable (2026년 7월): API 키가 공개 GitHub에 나타나면 자동으로 폐기합니다.
• Replit (2026년 5-6월): Security Center 2.0과 설치 시점에 하루 ~8,000개의 악성 패키지를 차단하는 패키지 방화벽(Socket으로 구축)을 도입했습니다.
• Semgrep (2026년 5월): 하드코딩된 AI 키(186개 규칙), 악성 에이전트 스킬 파일(122개 규칙), AI 보안(27개 규칙)용 규칙 세트 — 에이전트가 코드를 작성한다면 CI에 연결할 가치가 있습니다.

플랫폼 린팅은 알고 있는 패턴만 잡아냅니다. 위의 어떤 것도 1~69번 항목에서 당신을 면책시키지 않습니다.

이것은 무엇이 아닌가

SaaS 스캐너가 아닙니다. 지속적 모니터링이 아닙니다. 외부로 데이터를 보내는(phones home) 기능도 없습니다.

이것들은 정적 마크다운 파일입니다. 직접 읽고, SQL 쿼리와 셸 명령을 수동으로 실행하고, 발견한 것을 고치면 됩니다. 대시보드도, 알림도, 마법도 없습니다.

또한 건강 데이터, 금융 기록 또는 규제 대상 데이터를 다룬다면 이 목록은 전문 펜테스트를 대체하지 못합니다. 체크리스트는 바이브 코딩 앱에서 끊임없이 나타나는 패턴을 다룹니다. 모든 것을 다루지는 않습니다.

전체 볼트가 필요하신가요?

69개 항목 체크리스트는 무료입니다. 볼트에는 5개 공격 표면에 걸친 50개의 스킬이 있으며, 그중 12개는 AI 및 LLM 앱에 특화된 것입니다: 프롬프트 인젝션, MCP 서버 보안, 에이전트 권한 상승, 벡터 DB 격리, RAG 데이터 유출, 시스템 프롬프트 추출.

또한 포함된 것: Cursor 규칙 15개, MCP 설정 1개(Semgrep) + CLI 통합 레시피 4개(gitleaks, npm-audit, Supabase RLS 검사, 프롬프트 인젝션 퍼저), 체크리스트 4개, 적대적 리뷰 프롬프트 30개, 전체 근본 원인 분석이 포함된 사례 연구 10개(PocketOS 사례 포함 — Cursor + Claude Opus 4.6 에이전트가 범위가 제한되지 않은 Railway 토큰을 통해 9초 만에 프로덕션 데이터베이스와 모든 백업을 삭제한 사건).

SaaS 없음. 구독 없음. 당신의 저장소에 있는 마크다운 파일입니다.

일괄 $10. → rishabhvaai.gumroad.com/l/plddbd

주제

claude-code cursor lovable v0 security mcp vibe-coding supabase next-js prompt-injection rls ai-security

---이 체크리스트 덕분에 창피한 것을 배포하는 일을 막았다면, 저장소에 star를 눌러주세요. 그런 다음 아직 이 내용에 대해 생각해보지 않고 Lovable이나 v0를 사용 중인 팀원에게 링크를 보내세요.