개발자 70% "AI 코드에 더 많은 취약점"…30%는 그래도 배포한다 — 체크마르크스 조사

Checkmarx가 2,350명의 글로벌 개발자, CISO, AppSec 관리자를 대상으로 실시한 연례 AppSec 설문조사에 따르면, 응답자의 70%가 AI 생성 코드에 취약점이 훨씬 더 많다고 생각하지만, 30%는 이를 알면서도 취약한 코드를 프로덕션에 배포하고 있습니다. 2026년 조사는 2023년 이후 유사한 보고서를 뒤따르며, 올해 표본은 54% 더 큽니다.

주요 발견 사항

• AI 생성 코드 비율 소폭 감소 — 프로덕션 코드의 54%에서 49%로 줄었지만 여전히 높은 수준입니다.
• 70%가 AI 생성 코드에서 취약점이 훨씬 더 많다고 보고 (인간이 작성한 코드 대비).
• 30%가 취약한 AI 코드를 알고도 프로덕션에 배포 — 빠른 배포 압박, 수정 어려움, 또는 다른 통제 수단에 의존을 이유로 꼽습니다.
• 93%의 조직이 취약한 애플리케이션으로 인해 한 번 이상의 보안 침해를 경험 (작년 98%에서 감소).
• 오픈소스가 프로덕션 코드의 59%를 차지하며, npm, PyPI의 악성 패키지로 인한 위험 증가.
• 코드의 81-100%가 AI 생성된 조직은 1-20% 채택 조직보다 취약 코드 배포율이 3.4배 높음.

Checkmarx 연구진은 LLM이 학습 데이터에 구식 관행이 포함되어 있어 최신 언어 및 컴파일러 보안 기능을 충분히 활용하지 못하는 경향이 있다고 밝혔습니다. University of Central Florida와 Birzeit University의 별도 연구에 따르면 C 코드에서 AI 생성 취약점이 가장 많았고, Python에서 가장 적었습니다.

보고서의 인용문: "위험이 정상화되었습니다." 저자는 AI 코드 볼륨이 취약 코드 배포 및 침해 빈도와 직접적으로 상관관계가 있다고 경고합니다.