왜 제 보안 스캐너는 제 AI 비서가 가장 자주 작성하는 취약점 유형을 놓치는 걸까요?

Veracode의 ‘2026년 GenAI 코드 보안 보고서’에 따르면, AI 코딩 보조 도구는 언어에 따라 생성 작업의 44~72%에서 보안 취약점을 유발하는 것으로 나타났다. 기존 SAST 도구는 사람이 작성한 코드 패턴을 기준으로 설계 및 조정되었기 때문에, 특정 AI 도구가 생성하는 반복적이고 모델 고유의 취약점 시그니처를 모델링하지 못합니다. 2026년 7월 arXiv에 게재된 모델 간 비교 연구에 따르면, 서로 다른 대규모 언어 모델(LLM)들은 전혀 관련이 없는 코드베이스 전반에 걸쳐 예측 가능하고 뚜렷한 CWE(공통 취약점 엔트리) 클래스에 위험을 집중시키며, 현재의 스캐너들은 이러한 규칙성을 활용할 수 있는 모델 인식 프로필을 갖추고 있지 않은 것으로 나타났습니다. 엔도랩스는 2026년에 고정 패턴 스캐너가 파일 간 컨텍스트에 의존하는 결함을 놓친다는 사실을 확인했는데, 이는 바로 AI 생성 코드가 가장 자주 실패하는 부분입니다. 현재 생산 환경에서 사용 가능한 스캐너 중 코드를 생성한 모델에 맞춰진 프로파일을 제공하는 제품은 없습니다.