AI로 회원제 웹사이트를 만들었다고 해 보자. 가입이 되고, 로그인이 되고, 내 자료가 화면에 보인다. 몇 번의 수정 끝에 여기까지 왔다면 이제 공개해도 되겠다는 생각이 들 것이다.
그런데 다른 계정으로 접속했을 때도 내 자료가 보인다면 어떨까. 방금까지 잘 돌아간다고 생각했던 사이트를 다시 보게 된다. 기능이 되는지 확인하는 동안, 누구까지 사용할 수 있는지는 놓쳤을 수 있다.
새로운 AI 모델을 기다리는 마음에도 이 질문을 놓아 보고 싶다.
2026년 10월 17일 TestingCatalog는 Fable 5.5의 출시 가능성을 보도했다. 외부 도구에 나타난 모델 이름과 파트너 사전 접근설이 근거였다. 다만 일부 설정값은 기존 모델에서 가져온 것으로 보이며 관련 항목도 삭제됐다고 전했다. 10월 26일 확인한 Anthropic 공식 모델 목록에는 Fable 5.1이 올라 있고 Fable 5.5는 확인되지 않는다. 유출설을 다룬 기사 · 공식 모델 목록
이 소문은 개인정보 유출 사건이 아니다. 여기서 관심을 갖는 것은 새 모델로 무엇을 더 만들 수 있을지 기대하는 동안, 그렇게 만든 서비스를 어디까지 믿어도 되는지 함께 묻는 일이다.
화면과 기능을 만드는 데 드는 시간이 줄어든다면 반가울 것이다. 그만큼 빨리 완성됐다고 느끼는 서비스에서, 아직 확인하지 않은 부분은 무엇일까.
로그인 뒤에도 필요한 확인
실제로 화면에서 드러나지 않는 접근 권한 문제가 공개된 적이 있다. 보안 연구자 Matt Palmer는 2025년 5월 Lovable로 만든 일부 앱을 조사한 결과를 발표했다. 데이터베이스에서 사용자별 자료 접근을 제한하는 규칙이 없거나 부실해, 권한 없는 사람이 데이터를 읽거나 바꿀 수 있었다는 내용이다. 관련 문제는 CVE-2025-48757로 기록됐다. 연구자의 공개 보고서 · CVE 기록
로그인은 방문자가 누구인지 확인한다. 그 사람이 어느 자료까지 읽고 바꿀 수 있는지는 별도로 정해야 한다. 화면에서 다른 회원의 자료를 숨겼더라도, 데이터를 보내는 쪽에서 접근을 막지 않았다면 보호가 충분하지 않을 수 있다.
이것은 당시 조사한 앱의 구성 문제다. 지금의 모든 Lovable 앱이 같은 상태라는 뜻은 아니다. 현재 Lovable은 데이터 접근 규칙과 비밀키 등을 점검하는 기능을 안내하면서, 자동 검사가 철저한 보안 검토를 대신하거나 완전한 안전을 보장하지는 않는다고 설명한다. Lovable의 현재 보안 안내
이 사례를 읽고 나면 확인하는 방식도 달라진다. 내 계정에서 자료를 잘 불러오는지 보았다면, 다른 계정에서는 그 자료를 읽거나 바꿀 수 없는지도 살펴야 한다. 서비스가 해 주어야 할 일에 더해, 허용해서는 안 되는 일도 확인하는 것이다.
연결할 때 함께 건네는 권한
이 확인은 서비스를 만드는 도구에도 필요하다. AI에게 코드를 고치게 하는 일과 실제 고객의 기록을 수정하게 하는 일은 영향이 다르다. 테스트 자료만으로 할 수 있는 작업이라면 운영 중인 자료까지 연결할 필요가 있는지 생각해 볼 수 있다.
