바이브 코딩으로 FFmpeg 버그를 찾았다, AI가 바꾼 보안의 경제학

바이브 코딩은 흔히 “빠르게 만들지만 믿기는 어려운 코드”로 평가받곤 합니다. 하지만 AI로 만든 퍼저가 FFmpeg의 0으로 나누기 버그를 발견했다면 이야기는 조금 달라집니다. 여기서 중요한 건 AI가 완벽한 코드를 썼다는 사실이 아닙니다.

AI가 만든 것은 제품이 아니라 탐지 도구였습니다

퍼저는 프로그램에 예상 밖의 입력을 계속 넣어보는 자동화 도구입니다. 정상적인 동영상이 아니라 깨진 파일이나 비정상적인 값을 건넵니다. 프로그램이 멈추거나 오류를 내면 그때 사용한 입력을 분석해 버그를 찾아냅니다.

이번 사례에서 눈여겨볼 점은 퍼저가 사용자에게 판매되는 제품이 아니라는 것입니다. 개발자의 개인정보를 보관하거나 결제와 주문을 처리하는 도구도 아닙니다. 특정 버그를 찾고 나면 역할이 끝나는 일회성 도구에 가깝습니다.

이런 코드는 다소 거칠어도 쓸 수 있습니다. 퍼저 자체가 도중에 실패하면 다시 실행하면 됩니다. 반면 테스트 대상의 비정상 종료를 재현했다면 제 역할은 다한 셈입니다.

바이브 코딩의 약점이 상대적으로 덜 문제 되는 영역인 셈입니다. AI가 작성한 코드를 어디에 쓰느냐에 따라 위험과 효용의 비율은 완전히 달라집니다.

프로그램이 어떤 값을 0으로 나누는 순간 정상적인 계산을 이어갈 수 없습니다. 나눗셈 오류가 제대로 처리되지 않으면 프로그램이 강제로 종료될 수도 있습니다. 서버가 외부에서 받은 미디어 파일을 자동으로 처리한다면 서비스 거부 공격으로 이어질 가능성도 있습니다.

FFmpeg는 동영상과 음성을 변환하고 분석하는 대표적인 오픈소스 프로젝트입니다. 웹 서비스부터 방송 시스템, 영상 편집 도구까지 다양한 환경에서 쓰입니다. 입력 형식이 많고 처리 경로도 복잡합니다.

공격자는 바로 이런 복잡성을 파고듭니다. 정상적인 파일만 넣어서는 좀처럼 실행되지 않는 코드 경로를 비정상적인 값으로 건드립니다. 퍼저는 이 작업을 수천 번이나 수백만 번 반복하기에 적합합니다.

물론 0으로 나누기가 곧 원격 코드 실행을 뜻하는 것은 아닙니다. 발견된 충돌이 어떤 조건에서 발생하며 실제로 어떤 영향을 주는지는 따로 검증해야 합니다. 그래도 외부 입력 하나만으로 프로그램이 종료된다면 충분히 조사해 볼 만한 결함입니다.

과거에는 특정 라이브러리를 검사할 퍼저를 만드는 일부터 부담스러웠습니다. 입력 형식을 익혀 테스트용 코드를 작성하고 빌드 환경까지 맞춰야 했기 때문입니다. 그렇게 공을 들이고도 아무 결과를 얻지 못할 수 있었습니다.

비용을 간단히 가정해 보겠습니다. 보안 엔지니어가 이틀 동안 전용 퍼저를 만든다면 16시간이 필요합니다. AI의 도움으로 초안을 만든 뒤 사람이 2시간 동안 검토해 실행할 수 있다면 탐색 비용은 8분의 1로 줄어듭니다.

여기서 중요한 건 AI 코드의 품질 점수가 아닙니다. “이 가설을 한번 시험해 보자”라고 결정할 때 드는 비용이 낮아졌다는 점입니다. 예전에는 비용이 부담돼 접었던 작은 실험도 이제는 직접 해볼 수 있습니다.

보안 테스트의 범위도 그만큼 넓어집니다. 유명 프로젝트뿐 아니라 사내 변환기나 오래된 파일 파서, 특정 고객만 쓰는 플러그인까지 검사 대상에 포함할 수 있습니다. 도구 제작비가 낮아지면 그동안 경제성이 없어 시도하지 못했던 취약점 탐색도 가능해집니다.

이 사례를 두고 “AI가 보안 전문가를 대체했다”는 결론을 내리면 곤란합니다. AI가 만든 퍼저도 엉뚱한 입력을 생성하거나 중요한 코드 경로를 놓칠 수 있습니다. 발견한 충돌을 실제 취약점으로 잘못 판단할 가능성도 있습니다.

오히려 사람의 역할은 더 분명해집니다. 검사할 부분을 정하고 충돌을 재현해 원인을 좁혀야 합니다. 그런 다음 보안 영향을 판단하고 프로젝트에 책임 있게 알려야 합니다.

적절한 작업 흐름은 어렵지 않습니다. 먼저 AI로 퍼저의 초안을 빠르게 만든 뒤 격리된 환경에서 실행합니다. 결과는 사람이 검증해 최소 재현 파일로 정리하고, 수정과 공개는 해당 프로젝트의 보안 절차에 따라 진행합니다.

최근 30일 동안 이 사례를 둘러싼 확인 가능한 커뮤니티 논의는 충분하지 않았습니다. 따라서 온라인 반응을 섣불리 일반화하기보다는 이 사례가 보여준 비용 구조의 변화에 주목할 필요가 있습니다.

이번 FFmpeg 사례가 바이브 코딩이 무조건 안전하다는 증거는 아닙니다. 다만 실패해도 피해가 작고 결과를 검증할 수 있는 보조 도구에서는 AI가 강력하다는 사실을 보여줍니다.

앞으로의 경쟁력은 코드를 얼마나 빨리 입력하느냐보다 무엇을 검사할지 질문하는 능력에서 갈릴 가능성이 큽니다. 여러분의 조직에는 제작비가 아깝다는 이유로 아직 시도하지 못한 보안 실험이 몇 개나 있습니까?