"AI 코딩 확장 하나 잘못 깔면 고객 DB가 통째로 샙니다

"에디터에 확장 하나 깔았을 뿐인데, 어느 날 고객 명단과 결제 로그가 통째로 외부 서버로 빠져나가고 있었다면?"
— 2025년 실제로 VS Code·Cursor 마켓플레이스에서 반복된 공급망 공격 시나리오입니다.

요즘 바이브코딩으로 빠르게 제품을 찍어내는 팀일수록 '편리한 확장'을 겁 없이 깝니다. 별점 높고 다운로드 많으면 그냥 설치 버튼을 누르죠. 그런데 바로 거기가 2025년 가장 빠르게 늘어난 해킹 경로입니다. 공격자는 서버를 뚫는 대신, 개발자가 매일 켜는 에디터 안으로 '정식 확장'인 척 걸어 들어옵니다.

문제는 대부분의 바이브코딩 스타트업·1인 창업가·디자인 에이전시엔 이걸 점검할 사람이 없다는 겁니다. 바로 여기서 비전공자도 AI를 무기로 '확장/플러그인 백도어 점검·안전 설치 대행'이라는 틈새 서비스를 건당 50만 원에 팔 수 있는 시장이 열립니다.

왜 '확장 백도어'가 지금 돈이 되는가

Cursor와 VS Code는 같은 확장 생태계(OpenVSX·마켓플레이스)를 공유합니다. 확장은 설치되는 순간 에디터와 동일한 권한으로 당신의 파일, 환경변수, `.env`, API 키, git 자격증명에 접근할 수 있습니다. 즉 확장 하나가 곧 '관리자 계정 하나'인 셈이죠.

공격 방식은 교묘합니다. ① 유명 확장과 거의 똑같은 이름으로 위장(타이포스쿼팅) ② 처음엔 멀쩡하다가 업데이트에 악성코드를 끼워 넣기 ③ `postinstall` 스크립트로 설치 즉시 외부 서버에 데이터 전송. 피해자는 끝까지 자기가 당한 줄 모릅니다.

건당 50만 원을 만드는 5단계 실전 가이드

1단계 · 설치된 확장 목록을 통째로 뽑는다

모든 점검의 출발점입니다. 고객 PC(또는 화면 공유)에서 명령어 한 줄로 전체 목록을 뽑습니다.

# VS Code / Cursor 공통 — 설치된 확장과 버전 전체 추출
code --list-extensions --show-versions
cursor --list-extensions --show-versions

결과를 그대로 복사해 두면 그게 점검 대상 '원본 데이터'가 됩니다. 비전공자도 복붙만 하면 됩니다.

2단계 · AI에게 위험도 등급을 매기게 한다

여기가 핵심 무기입니다. 뽑은 목록을 AI에 넣고 아래처럼 지시하면, 사람이 하루 걸릴 분류를 몇 분 만에 끝냅니다.

3단계 · 의심 확장을 정밀 점검한다

주의·위험 등급만 추려 집중 확인합니다. 비전공자도 체크리스트대로 보면 됩니다.

• 발행자가 '검증된 게시자(verified)'인가, 다운로드 수·리뷰가 자연스러운가
• 최근 업데이트에서 갑자기 네트워크 권한이 추가되지 않았는가
• 유명 확장과 한 글자 다른 이름(예: Prettier vs Prettler)은 아닌가
• 확장 상세에 GitHub 원본 저장소 링크가 실재하는가

4단계 · 리포트와 '안전 설치 가이드'를 넘긴다

고객이 돈을 내는 건 '안심'입니다. 점검 결과를 ① 즉시 삭제 ② 대체 설치 ③ 유지 가능, 세 묶음으로 정리해 PDF 2~3장으로 넘깁니다. 여기에 '앞으로 확장 깔 때 지킬 3가지 규칙'까지 붙이면 50만 원이 아깝지 않은 결과물이 됩니다.

5단계 · 일회성을 '정기 구독'으로 바꾼다

확장은 계속 추가되고 업데이트됩니다. 그래서 월 1회 재점검 리테이너(월 15~20만 원)를 제안하면 한 번 뚫은 고객이 반복 매출로 바뀝니다. 외주 개발사·디자인 에이전시는 거래처 신뢰 때문에라도 정기 점검을 선호합니다.

누구에게 팔 것인가 — 타깃별 공략 포인트

네 그룹 모두 공통점은 "보안은 걱정되는데 들여다볼 사람이 없다"는 것. 그 공백을 당신이 메우는 겁니다.

정리하며

확장 백도어는 앞으로 더 늘어날 수밖에 없는 공격입니다. 바이브코딩으로 개발이 쉬워질수록, '깔기만 하고 검증 안 하는' 확장도 폭발적으로 늘기 때문이죠. 반대로 말하면, '대신 점검해 주는 사람'의 가치는 계속 커집니다. 코딩을 깊이 몰라도 절차와 AI, 그리고 깔끔한 리포트만 있으면 시작할 수 있습니다.

다만 5단계를 '내 손으로' 돌리려면, 확장 권한 구조와 명령어 한두 개는 직접 다뤄봐야 자신감이 붙습니다. 혼자 익히기 막막하다면, TTJ 코딩클래스 정규반에서 다루는 'AI로 개발환경 진단하기' 실습 과정이 이 가이드를 실제 수익으로 바꾸는 가장 빠른 지름길이 될 수 있습니다. 비전공자가 AI를 도구로 '팔 수 있는 결과물'을 만드는 데 초점을 맞춘 커리큘럼이니, 이 주제가 당겼다면 한 번 들여다보시길 권합니다.