특집 · 바이브코딩의 뒷면

'온라인 절' 106곳, 서버비와 보안은 누가 챙기나…60곳이 무료 기본 주소, 수파베이스 DB 1만6천곳 열린 적도

산사 이후 '여럿이 같이 머무는 곳' 사이트가 106곳으로 늘었다(31일 오후 AI 뉴스 데일리 집계). 대부분 개인 개발자가 AI 코딩 도구로 며칠, 길어야 몇 주 만에 만든 것이다. 사람이 몰리면 무료 서버는 한도에 걸려 멈추고, AI가 짜 준 코드는 데이터베이스 문을 열어 둔 채 배포되기도 한다. 이런 서비스를 만들거나 쓰는 사람이 알아 둘 서버비와 보안 문제, 산사 규모의 예상 서버비와 점검 목록을 정리했다.

1. 106곳 중 60곳은 무료로 받는 기본 주소

   AI 뉴스 데일리가 '요즘 핫한 제품 · 메타버스'에 모은 106곳의 주소를 세어 보니 60곳이 호스팅 업체가 가입만 하면 주는 기본 주소를 그대로 쓰고 있었다. 클라우드플레어 워커스(workers.dev) 25곳, 버셀(vercel.app) 11곳, 클라우드플레어 페이지스(pages.dev) 6곳, 깃허브 페이지스와 렌더(onrender.com) 각 5곳, 넷리파이와 챗GPT 사이트(chatgpt.site) 각 3곳이다. 나머지 46곳은 자기 도메인을 달았다.

2. 산사도 하루 만에 멈췄다…실시간 접속은 홈페이지와 다르다

   같은 방에 있는 사람들의 움직임을 실시간으로 주고받는 사이트는 글만 보여 주는 홈페이지보다 서버가 훨씬 바쁘다. 원조 산사도 접속이 몰리자 서버가 멈췄다. 개발자는 사과문을 올리고 방 정원을 20명에서 100명, 1천200명, 1만명으로 늘리며 서버를 증설했다. 30일 오전에는 '청연당' 서버 100곳에 4천679명이 앉아 있었다.

3. 무료 요금제의 벽: 한도 넘으면 오류, 한 달 정지

   클라우드플레어 무료 요금제에서 여러 사람의 상태를 한곳에 모으는 듀러블 오브젝트(Durable Objects)는 요청이 하루 10만건까지다. 웹소켓 메시지는 20개를 1건으로 센다. 한도를 넘으면 협정세계시 자정(한국 시간 오전 9시)까지 그 작업은 오류로 끝난다. 렌더 무료 웹 서비스는 15분 동안 접속이 없으면 잠들고 다시 깨는 데 1분쯤 걸린다. 한 달 750시간을 다 쓰면 그달 말까지 무료 서비스가 모두 멈추고, 결제 수단을 등록해 두면 넘긴 대역폭만큼 요금이 붙는다. 화제가 되는 순간이 곧 멈추거나 청구서가 커지는 순간이다.

4. 수파베이스 데이터베이스 1만6천여곳이 열려 있었다

   보안업체 업가드(UpGuard)는 수파베이스(Supabase)를 쓰는 도메인 약 30만곳을 살펴 누구나 표를 읽을 수 있는 데이터베이스 1만6천326곳을 찾았다고 9월 발표했다. 절반 넘게 개인정보로 보이는 데이터가 있었고, 비밀번호나 인증 토큰이 든 곳도 있었다. 업가드는 "이 사이트들은 AI 코딩 에이전트가 만들었고, 사람은 데이터베이스 설정을 모른다"는 점을 공통점으로 꼽았다. 사업 종류와 상관없이 같은 설정 실수가 반복됐다는 것이다.

5. 몰트북은 키 하나로 토큰 150만개가 새 나갔다

   바이브코딩으로 만든 AI 에이전트 소셜 네트워크 몰트북(Moltbook)은 올해 1월 말 데이터베이스 전체가 노출됐다. 보안업체 위즈(Wiz)에 따르면 브라우저에서 돌아가는 자바스크립트에 수파베이스 키가 들어 있었고 행 단위 보안(RLS)이 꺼져 있어, 그 키만으로 API 인증 토큰 약 150만개와 이메일 주소 3만5천여개, 에이전트끼리 주고받은 메시지 약 4천건을 읽고 고칠 수 있었다. 위즈가 1월 31일 알렸고, 2월 1일 모든 표가 막혔다.

6. 만드는 도구 쪽 구멍도…러버블 48일

   앱을 만들어 주는 서비스 자체에 구멍이 난 경우도 있다. 바이브코딩 플랫폼 러버블(Lovable)은 무료 계정으로 API를 다섯 번만 부르면 다른 사람 프로젝트의 소스 코드와 데이터베이스 접속 정보를 볼 수 있는 결함이 48일 동안 열려 있었다고 4월 더넥스트웹이 보도했다. 러버블은 처음 "데이터 유출은 없었다"고 했다가 같은 날 부분적으로 사과했다.

7. 예상 서버비: 산사 규모면 월 25달러에서 560달러까지

   산사 규모(하루 10만명, 방 100개, 방마다 최대 100명)를 클라우드플레어 공식 요금으로 계산해 봤다. 유료 요금제는 월 최소 5달러에 요청 100만건과 실행 시간 40만 GB-s가 들어 있고, 넘으면 요청 100만건당 0.15달러, 실행 시간 100만 GB-s당 12.5달러다. 웹소켓 메시지는 20개를 1건으로 센다. 절이나 합장처럼 가끔 신호를 보내는 방식(1인당 2초에 1개)이면 월 25달러 안팎이고, 걸어 다니는 위치를 1인당 초당 10번 보내면 150달러 안팎이다. 쉬는 연결에는 실행 시간을 매기지 않는 '휴면(Hibernation)' 기능을 쓰지 않으면 같은 트래픽에 월 420~560달러로 뛴다. 클라우드플레어 문서의 예시도 방 100개·방마다 100명 기준 실행 시간 요금이 휴면을 쓰면 12.5달러, 안 쓰면 412.5달러다. 요금을 가장 크게 가르는 건 초당 메시지 수여서, 위치를 매 프레임 보내지 않고 묶어 보내기만 해도 비용이 크게 준다. 이용 패턴은 AI 뉴스 데일리가 가정한 값이라 실제와 다를 수 있다.

8. 배포 전 보안 점검 일곱 가지

   첫째, 수파베이스 서비스 키나 오픈AI 키 같은 비밀 키는 브라우저 코드에 넣지 않고 서버에만 둔다. 공개용(anon) 키는 행 단위 보안을 켰을 때만 안전하다. 둘째, 모든 테이블에 행 단위 보안을 켜고, 배포 전에 공개용 키로 직접 조회해 막히는지 확인한다. 업가드가 찾은 1만6천여곳과 몰트북이 모두 이 설정에서 뚫렸다. 셋째, 방 정원과 위치, 동작은 서버가 판정한다. 방 범위를 벗어난 좌표나 지나치게 큰 메시지는 버리고, 연결 하나가 초당 보낼 수 있는 메시지 수에 상한을 둔다. 넷째, 닉네임과 소원, 방명록은 HTML이 아닌 글자로만 그리고 길이를 제한한다. 채팅을 열면 신고 기능과 금칙어 필터가 따라와야 한다. 다섯째, 웹소켓을 연결할 때 출처(Origin)를 확인해 다른 사이트나 봇이 방에 붙지 못하게 한다. 여섯째, 지출 한도와 예산 알림을 먼저 건다. 무료 요금제는 한도에서 멈추고, 결제 수단을 연결한 유료 요금제는 끝없이 청구된다. 일곱째, 접속이 비정상적으로 몰리면 방화벽의 속도 제한 규칙이나 사람 확인 장치를 켠다.

9. 그 밖의 주의: 개인정보·저작권·후원, 몰릴 때의 대비

   IP 주소나 닉네임, 접속 기록을 저장하면 개인정보처리방침이 필요하다. 아무것도 저장하지 않는 쪽이 가장 간단하고, 미성년자도 들어오는 만큼 채팅은 신중하게 연다. 반야심경 독송이나 찬송가 음원, 불상·성화 이미지, 글꼴은 라이선스를 확인해야 하고, 실제 성당이나 사찰 이름을 쓰면 공식 사이트가 아니라는 점을 밝혀 두는 게 좋다. '공양미 보태기' 같은 후원을 실제 돈으로 받기 시작하면 결제와 세금, 환불 문제가 생긴다. 사람이 몰릴 때를 대비해 정원이 차면 다른 방으로 안내하는 화면과 서버가 멈춰도 뜨는 안내 페이지를 두고, 장애 공지를 올릴 SNS 채널을 하나로 정해 둔다. 3D 화면은 저가 스마트폰에서 발열과 배터리 소모가 커서 저화질 모드가 있으면 이탈이 준다. 뜨는 순간 비슷한 이름의 사이트가 나오는 만큼 자기 도메인은 일찍 사 두는 편이 낫다. 106곳 가운데 60곳은 아직 무료 기본 주소를 쓰고 있다.