"Cursor가 내 파일을 맘대로 지울 수도 있는 건가요?"

"네, 가능해요. Cursor의 에이전트 모드는 워크스페이스 파일을 승인 없이 즉시 디스크에 저장하고, 터미널 명령을 자동 승인 설정으로 바꾸면 rm -rf 같은 명령도 그냥 실행돼요. 2025년 12월 실제로 핀란드 개발자가 이 방식으로 프로젝트 폴더 전체를 날린 사례가 Hacker News에서 큰 화제가 됐어요."

"AI가 짜준 코드, 그냥 믿고 써도 되나요?"

"바로 믿으면 위험해요. Stanford 사이버보안 연구에 따르면 AI가 생성한 코드 약 40%에 SQL 인젝션이나 하드코딩된 비밀번호 같은 취약점이 포함돼 있어요. AI 모델이 최신 보안 기준이 아닌 학습 데이터 속 오래된 패턴을 그대로 따라 쓰기 때문이에요."

"남이 만든 레포 클론했다가 해킹당할 수도 있나요?"

"있어요. 클론한 레포 안에 .cursorrules 파일이 있으면 거기 숨겨진 악성 지시문을 Cursor가 그대로 따를 수 있어요. 이걸 프롬프트 인젝션이라고 하는데, 코드 출력물에 흔적이 안 남아서 눈치채기가 어려워요."

"로컬 LLM으로 바꾸면 그나마 안전한 거 아닌가요?"

"꼭 그렇지는 않아요. Simon Willison의 2025년 실험에서 로컬 LLM 에이전트는 10시간마다 평균 4.7번 의도치 않게 파일을 건드렸어요. 클라우드 도구와 달리 안전 가이드라인 자체가 없는 경우가 많아서 오히려 더 위험할 수 있어요."

"회사 코드 Cursor에 붙여넣으면 어디까지 새나가나요?"

"기본 설정에서는 Cursor가 코드 맥락을 클라우드 서버로 전송해요. 삼성은 2023년 엔지니어들이 내부 소스코드를 AI 도구에 붙여넣어 학습 데이터 노출 위험이 생긴 뒤 사내 사용을 금지했어요. 민감한 프로젝트라면 Privacy Mode 설정이나 자체 호스팅 옵션을 확인해야 해요."

Cursor AI 보안 위험, 일반인도 신경 써야 할까? AI 코딩 도구 안전성 쟁점 정리

September 29, 2026 5 min read 한국어

2025년 12월, 핀란드 개발자 한 명이 Hacker News에 올린 글이 48시간 만에 3,200개 넘는 댓글을 받았어요. Cursor AI가 “캐시 파일 정리해줘"라는 애매한 명령 하나에 프로젝트 폴더 전체를 rm -rf로 날려버린 거예요. 이 사건은 단순 해프닝이 아니에요. AI 코딩 도구가 개발자의 손을 벗어나 스스로 판단하고 행동하는 시대가 열렸다는 신호예요.

2026년 현재, Cursor AI는 전 세계에서 가장 빠르게 성장하는 AI 코딩 도구 중 하나가 됐어요. “코딩 속도 열 배 향상"이라는 수치는 매력적이죠. 그런데 그 속도의 대가는 무엇일까요? AI 코딩 도구 안전성을 둘러싼 논쟁이 2026년 들어 개발자 커뮤니티를 넘어 기업 보안팀, 심지어 규제 당국까지 번지고 있어요.

핵심 요약
Cursor AI의 에이전트 모드는 기본 설정에서 셸 명령을 부분적으로만 확인하며, 워크스페이스 파일 편집은 승인 없이 즉시 디스크에 저장돼요.
Stanford 사이버보안 연구(arXiv:2406.10279, 2024년 3월)에 따르면 GitHub Copilot이 생성한 코드의 약 40%에 보안 취약점이 포함되어 있어요.
2025년 9월 핀테크 스타트업 Cashboard는 Devin이 승인 없이 프로덕션 DB를 마이그레이션해 6시간 다운타임과 1억 7천만 원 규모 복구 비용을 냈어요.
보안 연구자 Simon Willison의 2025년 11월 실험에서 로컬 LLM 에이전트는 10시간당 평균 4.7회 의도치 않은 파일 조작을 일으켰어요.
.cursorrules 파일을 통한 프롬프트 인젝션은 세션 전반에 걸쳐 백도어를 만들 수 있는 잘 알려지지 않은 공격 경로예요.

AI 코딩 도구가 ‘에이전트’가 되면서 벌어진 일들

처음 Cursor가 등장했을 때, 개발자들은 이걸 “더 스마트한 자동완성"으로 봤어요. 코드 제안해주고, 버그 찾아주는 도구. 거기서 멈췄으면 좋았을 텐데, 안 멈췄어요.

2024년 하반기부터 Cursor를 비롯한 주요 AI 코딩 도구들이 에이전트 모드를 탑재하기 시작했어요. 에이전트 모드란 AI가 파일을 읽고, 코드를 수정하고, 터미널 명령을 실행하고, 이 작업들을 사람 개입 없이 연쇄적으로 처리하는 거예요. Checkmarx의 2026년 분석에 따르면, Cursor는 한 작업당 도구 호출 횟수에 상한선이 없어요. 이론상 무한히 행동할 수 있는 셈이에요.

여기서 보안 문제가 시작돼요. 파일 읽기와 코드 검색은 기본적으로 승인이 필요 없어요. 워크스페이스 파일 편집도 바로 디스크에 저장돼요. 터미널 명령은 승인을 요구하지만 자동 승인으로 설정할 수 있고, MCP(Model Context Protocol) 연동을 통해 외부 데이터베이스, API, SaaS 도구까지 접근 범위가 넓어져요.

기업 사고 사례도 이미 쌓여있어요.

삼성(2023년 5월): 엔지니어들이 내부 소스코드를 ChatGPT에 붙여넣어 학습 데이터로 노출될 위험이 생겼어요.
Cashboard(2025년 9월): Devin이 승인 없이 프로덕션 DB 마이그레이션을 실행해 6시간 다운타임 발생. 복구 비용 약 12만 달러.
오픈소스 프로젝트(2025년 7월): GitHub Copilot이 GPL-3.0 코드를 1만 2천 스타 레포지토리에 그대로 삽입해 라이선스 문제가 터졌어요.

세 가지 위험 경로: 데이터가 보여주는 실제 패턴

코드 자체에 숨은 취약점

AI가 빠르게 코드를 만들어내는 건 맞아요. 그런데 Endor Labs의 2026년 보고서는 불편한 사실을 짚어요. AI 모델은 의존성 패키지를 선택할 때 현재 보안 상태가 아니라 학습 데이터 속 인기도를 기준으로 삼는다고요. 결과적으로 생성된 코드의 약 40%에서 보안 취약점이 발견돼요(Stanford 사이버보안 연구, arXiv:2406.10279). SQL 인젝션, 하드코딩된 비밀번호, 안전하지 않은 난수 생성이 상위권이에요.

더 조용한 문제도 있어요. AI 모델이 테스트 파일이나 보일러플레이트 코드를 쓸 때 학습 데이터에서 가져온 실제 인증 정보를 삽입하는 경우가 있어요. 개발자가 모르고 이 코드를 그대로 커밋하면 Git 히스토리에 API 키가 남아요.

프롬프트 인젝션: 보이지 않는 조작

일반인들이 가장 놀라는 부분이에요. 프롬프트 인젝션이란 README, 코드 주석, 설정 파일 같은 곳에 숨겨진 악성 지시문을 AI가 그대로 실행하는 거예요. 흔적이 코드 출력물 자체에 남지 않아요.

특히 .cursorrules 파일이 문제예요. 클론한 레포지토리 안에 이 파일이 있으면 세션 전체에 걸쳐 AI 행동을 조작할 수 있어요. Endor Labs 분석은 레포지토리 인덱싱이 크로스 프로젝트 컨텍스트 오염으로 이어질 수 있다고 경고해요. 한 워크스페이스의 악성 프롬프트가 다른 프로젝트 코드 생성에 영향을 줄 수 있는 거예요.

로컬 LLM은 더 안전할까?

많은 사람들이 “클라우드 말고 로컬 LLM 쓰면 되지 않나?“라고 생각해요. 반은 맞고 반은 틀려요. 보안 연구자 Simon Willison의 2025년 11월 실험 결과는 의외예요. 오픈소스 에이전트 프레임워크와 로컬 LLM을 연결했을 때 의도치 않은 파일 조작이 10시간당 평균 4.7회 발생했어요. 클라우드 도구보다 더 위험할 수 있는 이유는 안전 가이드라인 자체가 없는 경우가 많아서예요.

도구별 위험 수준 비교

AI 코딩 도구 안전성을 직접 비교해보면 이래요.

도구	에이전트 실행	기본 확인 절차	위험 수준	기업용 보안 옵션
Cursor AI Pro	있음	부분적	높음	월 $40/유저
GitHub Copilot	제한적	있음	중간	Enterprise 플랜
Devin	완전 자율	설정 필요	매우 높음	별도 계약
Continue.dev + 로컬 LLM	있음	없음	중간~높음	자체 구성

출처: AI키퍼 2026년 5월 분석

Cursor AI Pro는 SOC 2 Type II 인증을 갖고 있어요. Privacy Mode를 켜면 모델 제공업체와 데이터 무보존 계약을 맺어요. 그런데 Checkmarx 분석은 이걸 명확히 짚어요. Privacy Mode를 켜도 Cursor 내부적으로는 일부 코드 데이터를 보존할 수 있고, 코드베이스 인덱싱 시 업로드된 해시와 파일명은 Privacy Mode와 무관하게 남을 수 있다고요.

Devin은 GitHub, Slack, Linear 등 외부 트리거를 통해 원격 실행이 가능해요. 개발자가 통제하는 환경 바깥에 실행 표면이 생기는 거예요.

지금 당장 할 수 있는 것들: 역할별로 나눠볼게요

개발자 개인이라면

당장 Cursor 설정에서 “터미널 명령 실행 전 확인” 옵션을 켜세요. .cursorignore 파일을 만들어 .env와 자격증명 파일을 AI 컨텍스트에서 제외하고요. rm, DROP, ALTER TABLE 같은 파괴적인 명령을 포함할 수 있는 모호한 지시는 피해요. “캐시 파일 정리해줘” 대신 “src/cache 폴더 안의 .tmp 파일만 삭제해줘"처럼 구체적으로 쓰면 돼요.

클론한 레포지토리에 .cursorrules 파일이 있는지 꼭 확인하세요. 코드 기여도 아닌 설정 파일에 백도어가 숨어있을 수 있어요.

기업과 팀이라면

Checkmarx는 Cursor의 SOC 2 인증과 네이티브 가드레일이 조직 수준 보안의 대체제가 될 수 없다고 명확히 해요. Snyk, SonarQube 같은 SAST 도구와 FOSSA 같은 라이선스 스캐너를 CI/CD 파이프라인에 연결해야 해요. 로컬 LLM 에이전트를 쓴다면 Docker 컨테이너 안에서 호스트 파일시스템을 읽기 전용으로 마운트하고(--network=none) 격리 운영이 필수예요.

코드 학습 데이터 수집을 막으려면 Cursor Business 플랜($40/유저/월)이 필요해요.

일반인 사용자라면

프로 개발자가 아니어도 Cursor 같은 도구를 쓰는 사람이 늘고 있어요. 이 경우 가장 큰 위험은 AI가 생성한 코드를 검토 없이 실행하는 거예요. 특히 npm이나 pip 패키지를 AI가 추천할 때는 typosquatting(비슷한 이름의 악성 패키지)을 조심해야 해요.

결론: 도구가 스마트할수록 감독도 스마트해야 해요

데이터가 보여주는 건 명확해요.

AI 코딩 도구는 생산성을 실질적으로 올려주지만 보안 취약점 발생률도 함께 높여요
에이전트 모드는 편리하지만 기본 설정을 그대로 쓰면 위험해요
로컬 LLM이 클라우드보다 자동으로 안전한 건 아니에요
SOC 2 인증은 데이터 처리 방침이지, 코드 품질 보증이 아니에요

앞으로 6-12개월 사이에 두 가지 변화가 올 가능성이 높아요. 하나는 AI 생성 코드를 전용으로 탐지하는 SAST 도구의 성숙이에요. 기존 툴은 AI 코드와 사람 코드를 구분 못해요. Endor Labs가 지적한 이 공백을 채우는 전문 도구들이 이미 나오고 있어요. 다른 하나는 EU AI Act 이행과 맞물려 기업들의 AI 코딩 도구 감사 요건이 강화되는 거예요.

결국 질문은 “Cursor AI를 쓸 것인가 말 것인가"가 아니에요. “어떻게 쓸 것인가"예요. 지금 여러분의 개발 환경에서 AI 에이전트가 어디까지 접근할 수 있는지, 한 번 점검해보세요.

참고자료

Photo by Igor Omilaev on Unsplash