"일단 돌아가게만 만들고 배포하자" — 이게 바이브코딩의 매력이자 함정이죠.
기능은 다 되는데, IDOR로 남의 주문 내역이 보인다거나, 회원가입 API에 rate limit이 없어서 봇이 계정을 무한 생성한다거나 하는 문제는 "일단 돌아가긴 하니까" 넘어가기 쉽습니다. 그러다 서비스가 커지고 나서야 알게 되죠.
뭔가
VibeSec은 툴이나 명령어가 아니라 SKILL.md 파일 한 장입니다. Claude가 코드를 짤 때마다 참고하는 보안 체크리스트라고 보면 됩니다. 5년 이상 버그바운티 헌팅을 해온 사람이 정리한 내용이라고 하는데, IDOR·권한 상승 같은 접근 제어 문제부터 XSS·CSRF·SSRF·SQL 인젝션·JWT 취약점·불안전한 파일 업로드까지 다룹니다. React, Node.js, Python, Java 등 프레임워크별 패턴도 인식하고, AWS/GCP 메타데이터 엔드포인트 보호처럼 클라우드 특화 항목도 포함돼 있습니다.
뭘 해결하나
예를 들어 "회원가입 API 만들어줘"라고만 요청해도, 스킬이 깔려 있으면 Claude가 알아서 비밀번호 해싱, 입력값 검증, rate limiting, 세션 관리까지 체크리스트로 반영합니다. 별도로 "보안 신경 써서 짜줘"라고 매번 프롬프트에 넣을 필요가 줄어드는 거죠.
어떻게 시작하나
```
git clone https://github.com/BehiSecc/VibeSec-Skill
```
받은 폴더를 프로젝트 전용으로 쓰려면 `.claude/skills`에, 모든 프로젝트에 적용하려면 `~/.claude/skills`에 넣으면 끝입니다. Cursor, GitHub Copilot, Codex 등 다른 에이전트용 경로도 README에 따로 안내돼 있습니다.
언제 쓰고 언제 쓰지 마세요
로그인, 결제, 파일 업로드가 들어간 사이드프로젝트를 실제로 배포하려는 시점이면 깔아두는 걸 추천합니다. 이미 이 게시판에 올라온 Semgrep이나 security-guidance 플러그인과는 역할이 다릅니다. 그쪽은 코드를 다 짜고 나서 스캔하는 방식이고, VibeSec은 짜는 순간부터 예방하는 방식이라 같이 써도 겹치지 않습니다.
반대로 팀에 이미 보안 리뷰 프로세스가 있다면 오히려 노이즈만 늘어날 수 있습니다.
한계
README에 스스로 "일반적인 취약점의 60~70%만 커버한다"고 적어놨습니다. 이 스킬 깔았다고 안전하다고 착각하면 안 되고, 결국 중요한 서비스라면 사람이 한 번은 봐야 합니다. 더 강한 버전은 vibesec.sh에서 별도로 제공한다고 하는데, 유료인지는 확인이 필요합니다.
댓글 0
첫 댓글을 남겨보세요!