인공지능(AI) 코딩 도구 확산으로 개발자가 외부 프로그램과 코드를 손쉽게 가져다 쓰게 되면서 악성코드가 개발환경에 유입될 위험도 커지고 있다.
류소준 카스퍼스키 글로벌 연구·분석팀(GReAT) 선임 연구원은 4일 중국 광저우에서 열린 'APAC CSW 2026' 행사 인터뷰를 통해 “AI가 생산성을 높이면서 개발자가 사용하는 외부 프로그램과 코드도 늘고 있다”며 “편리해 보인다는 이유로 가져다 쓰는 과정에서 검증이 누락되면 감염될 수 있다”고 경고했다.
AI 코딩 도구를 활용하는 개발자는 개발도구 확장 프로그램을 설치하고, 외부 프로젝트를 내려받거나 오픈소스 패키지를 추가한다. 몇 번의 클릭이나 간단한 명령만으로 필요한 기능을 사용할 수 있어 개발 시간은 줄어든다.
반면 어떤 코드가 들어 있고 어떤 명령이 실행되는지 확인하지 않으면 악성 프로그램도 같은 경로로 유입될 수 있다.
류 연구원은 “오픈소스 패키지와 개발도구 확장 프로그램, 외부 레지스트리, 비주얼 스튜디오 코드(VS Code) 프로젝트 모두 위험 요소가 될 수 있다”며 “누구나 프로그램을 올릴 수 있어 악의적으로 조작된 프로그램을 설치 시 공격을 당할 수 있다”고 설명했다.
카스퍼스키가 분석한 한 개발도구 확장 프로그램은 문법 강조 등 정상 기능을 제공한다고 소개했지만, 실제로는 해당 기능이 없던 것으로 확인됐다. 외부 웹서버에서 악성코드를 내려받아 실행하는 악성 프로그램이었던 것이다.
외부에서 내려받은 VS Code 프로젝트도 공격 통로가 될 수 있다. 사용자가 프로젝트 작성자를 신뢰하면 내부 설정 파일에 담긴 명령이 실행될 수 있기 때문이다. VS Code는 외부 프로젝트를 제한 모드로 열도록 보완했지만, 공격자가 이용자를 속여 신뢰를 허용하게 만들 가능성은 남아 있다는 분석이다.
류 연구원은 “AI는 생산성을 높이지만 개발 속도가 검증을 앞지르면 위험도 함께 커질 수 있다”고 강조했다.
중국 광저우=
박진형 기자 jin@etnews.com
