안녕하세요. AI로 만든 앱의 보안이 궁금해서, 깃허브에 올라온 **Supabase 앱 243개를 직접 스캔**해봤어요. 결과가 생각과 좀 달랐습니다. * 🟢 **76%는 안전**했어요 * 🟡 16%는 확인이 필요한 회색지대 * 🔴 **6%는 지금도 비밀키·마스터키가 통째로 노출**돼 있었어요 ### "AI 앱은 다 위험하다"는 좀 옛말이더라고요 예전엔 "Lovable로 만들면 RLS가 안 켜져서 위험하다"는 얘기가 많았는데, 지금은 플랫폼들이 기본값을 많이 고쳤어요. (Lovable Cloud는 RLS 자동으로 켜주고, Supabase는 RLS 없이 테이블 만들면 경고 팝업을 띄웁니다.) 그래서 이제 진짜 위험은 다른 데로 옮겨갔어요: 1. **비밀키 노출** — 제일 흔했어요. 특히 변수 이름은 `ANON`(공개용)인데 \*\*실제로는 마스터키(service\_role)\*\*인 걸 모르고 코드에 넣은 경우. 이러면 누구나 DB 전체를 읽고 지울 수 있어요. 2. **.env 파일이 깃허브에 그대로** 올라간 경우 3. **"안전인지 아닌지 코드만 봐선 애매한" 회색지대** ### 그래서 비개발자용 진단 도구를 만들고 있어요 기존 보안 도구는 "RLS 미설정", "IDOR" 같은 개발자 용어로 결과를 줘서, 정작 코드 모르는 분들은 읽어도 뭘 해야 할지 모르잖아요. 그래서 이렇게 바꿨어요: * **"로그인 안 한 사람도 데이터를 볼 수 있어요"** 처럼 쉬운 말로 * **고칠 프롬프트를 그대로 복사**해서 Cursor·Lovable에 붙여넣게 * 위험만 겁주지 않고 **"이건 잘 하셨어요"도** 같이 알려드려요 ### 무료로 봐드릴게요 🙏 아직 초기라 제가 직접 하나하나 돌려보고 있어요. **GitHub 공개 저장소 주소만** 남겨주시면, 진단해서 리포트 보내드립니다. 👉 [https://vibescaner.netlify.app/](https://vibescaner.netlify.app/) (며칠 안에 이메일로 결과 보내드려요. 코드는 읽기만 하고 저장 안 해요.) 피드백 주시면 도구 개선에 정말 큰 도움이 됩니다. 궁금한 점은 댓글로 물어봐 주세요!