최근 수파베이스(Supabase) 데이터베이스의 보안 설정을 간편하게 감사(audit)할 수 있는 AI 프롬프트가 개발되어 화제를 모으고 있습니다. 이 프롬프트는 클로드(Claude), 코드 커서(Code Cursor) 등 프로젝트에 연결된 AI 에이전트에 입력하기만 하면, 데이터베이스의 행 수준 보안(RLS: Row Level Security) 정책과 스토리지 버킷의 공개 여부를 자동으로 검증해줍니다. 사용자는 단 한 번의 프롬프트 입력으로 어떤 테이블이 노출되어 있는지, 어떤 정책이 모든 접근을 허용하는지, 그리고 어떤 스토리지 버킷이 공개되어 있는지 즉시 파악할 수 있습니다.
이 프롬프트는 데이터베이스에 대한 다섯 가지 읽기 전용 검사를 수행합니다. 구체적으로는 RLS가 활성화되지 않아 익명 키(anon key)로 누구나 읽을 수 있는 테이블, 'USING true' 조건으로 모든 사용자에게 읽기 권한을 부여하는 정책, 'WITH CHECK true'로 인해 레코드 재할당이 가능한 정책 등을 탐지합니다. 또한, 공개 설정된 스토리지 버킷과 RLS는 활성화되었으나 정책이 없어 앱에서 데이터가 반환되지 않는 테이블도 찾아냅니다. 이 모든 과정은 Postgres 카탈로그 뷰(Postgres catalogue views)만 읽기 때문에 실제 애플리케이션 데이터를 건드리거나 데이터베이스를 변경하지 않아 보안상 안전합니다.
이 도구의 가장 큰 장점은 간편함과 접근성입니다. 별도의 회원가입이나 이메일 인증 없이 프롬프트 복사-붙여넣기만으로 즉시 보안 감사를 시작할 수 있습니다. 이는 특히 소규모 팀이나 개인 개발자들이 복잡한 보안 컨설팅 없이도 데이터베이스의 기본 보안 상태를 빠르게 점검하고 개선할 수 있도록 돕습니다. AI 에이전트가 없는 경우에도 프롬프트 내의 SQL 쿼리 부분을 직접 수파베이스 SQL 편집기에 붙여넣어 동일한 감사 결과를 얻을 수 있어 활용도가 높습니다.
이러한 AI 기반의 보안 감사 도구는 개발 과정에서 흔히 간과될 수 있는 데이터베이스 보안 취약점을 조기에 발견하고 수정하는 데 크게 기여할 수 있습니다. 특히 수파베이스와 같이 백엔드 서비스로서의 기능(BaaS: Backend as a Service)을 제공하는 플랫폼을 사용하는 개발자들에게는 RLS 정책 설정의 복잡성 때문에 발생할 수 있는 오류를 줄여주는 중요한 역할을 합니다. 이는 개발자들이 보안 전문가 없이도 일정 수준의 보안 기준을 유지하며 애플리케이션을 개발할 수 있도록 지원하여, 전체적인 소프트웨어 생태계의 보안 수준을 향상시키는 데 긍정적인 영향을 미칠 것입니다.