AI가 만든 애플리케이션을 프로덕션에 올리기까지 필요한 작업

この文書の適用条件

そのまま実行できるコマンド

# 対象: 自組織のアプリケーションリポジトリ（言語不問）
# 権限: リポジトリの読み取り権限
# 変更作業: なし（検索のみ）
# Production 実行: 該当なし（手元またはCIで実行）

# 1) 代表的なキー名に値が直接代入されていないかを探す
#    環境変数から読んでいる行は除外して、残ったものを目視で確認する
grep -rInE "(api[_-]?key|secret|password|passwd|token|access[_-]?key)[[:space:]]*[:=]" --exclude-dir=.git --exclude-dir=node_modules --exclude-dir=vendor . | grep -vF -e "process.env" -e "os.environ" -e "getenv" -e ".example" -e ".sample"

# 2) 秘密鍵そのものが混入していないか
grep -rIn -- "-----BEGIN" --exclude-dir=.git .

# 3) 接続文字列の形（ユーザー名とパスワードが埋め込まれたURL）を探す
grep -rInE "(postgres|mysql|mongodb|redis|amqp)://[^:@/]+:[^@/]+@" --exclude-dir=.git .

# 4) 現在のコードから消しても履歴には残る。過去のコミットも確認する
git log --oneline -S "BEGIN PRIVATE KEY" | head -n 20

# 対象: Node.js / Python のアプリケーションリポジトリ
# 権限: リポジトリの読み取り権限とパッケージレジストリへの通信
# 変更作業: なし（監査のみ）
# Production 実行: 該当なし（CIまたは開発環境で実行）

# Node.js: ロックファイルを基準に既知の脆弱性を照合する
npm audit --audit-level=high

# Python: requirements もしくはインストール済み環境を監査する
pip-audit -r requirements.txt

# コンテナで配布する場合は、ベースイメージ側のパッケージも別途監査対象になる
# （アプリの依存監査だけではOSパッケージの脆弱性は検出されない）

結果の読み方

こういう状況で使います

• 로컬에서는 동작하지만 프로덕션에 올리는 단계에서 무엇부터 해야 할지 모르겠다
• 설정 파일에 프로덕션 API 키가 직접 적혀 있다
• 개발 환경과 프로덕션 환경이 동일한 데이터베이스를 보고 있다
• 에러가 발생해도 아무에게도 알림이 가지 않고, 사용자 문의로 알게 된다
• 배포는 가능하지만 이전 버전으로 되돌리는 절차가 없다
• 예상치 못한 클라우드 과금이 월말에 드러난다

考えられる原因（可能性の高い順）

1. 01

   생성의 목적이 "동작하는 것"에 맞춰져 있다

   AI에 주는 지시는 대부분 "이 기능을 구현해 달라"이며, 환경 분리나 모니터링 연동은 지시에 포함되지 않습니다. 지시에 없는 것은 결과물에도 포함되지 않으므로 기능 이외의 부분이 체계적으로 빠집니다.

2. 02

   샘플 코드의 관습을 그대로 가져왔다

   학습 자료의 샘플은 간결함을 위해 키를 직접 작성하고 에러 처리를 생략하며 단일 환경을 전제로 합니다. 생성물이 이 관습을 그대로 이어받는 경우가 있습니다.

3. 03

   운영 요건이 요구사항으로 작성되지 않았다

   가용성, 복구 목표, 로그 보관 기간, 비용 상한이 정해져 있지 않으면 구현할 방법이 없습니다. 요건이 없는 상태에서는 빠진 부분을 검출할 수도 없습니다.

4. 04

   프로덕션과 동등한 검증 환경이 없다

   검증 환경이 없거나 구성이 프로덕션과 다르면 마이그레이션이나 롤백을 시도해 볼 수 없습니다. 시도해 보지 않은 절차는 프로덕션에서 처음으로 실패합니다.

確認手順

1. 1

   리포지토리 내 시크릿을 검색한다

   参照のみ

   위의 grep 명령으로 직접 작성된 키를 찾아냅니다. 검출된 키는 폐기할 것을 전제로 하십시오.

2. 2

   환경별 접속 대상을 대조한다

   参照のみ

   각 환경의 설정 파일 또는 환경 변수를 나열해, 데이터베이스·외부 API·스토리지의 접속 대상이 환경별로 분리되어 있는지 확인합니다.

3. 3

   의존 패키지를 점검한다

   参照のみ

   `npm audit` 또는 `pip-audit`을 실행하고, 심각도가 높은 것부터 확인합니다.

4. 4

   인증이 필요한 엔드포인트를 나열해 확인한다

   低

   인증 토큰 없이 각 엔드포인트를 호출해, 의도치 않게 공개된 것이 없는지 확인합니다. 검증 환경에서 실시하십시오.

5. 5

   검증 환경에서 마이그레이션 롤백을 실행한다

   中

   적용과 롤백을 한 번 통과시켜 데이터 손실이 발생하지 않는지 확인합니다. 프로덕션에서는 실시하지 마십시오.

6. 6

   백업에서 복원하여 기동한다

   中

   확보해 둔 백업을 다른 환경에 복원하여 앱이 기동하고 주요 작업이 가능한지 확인합니다.

対応方法

バージョン・環境による違い

これで解決しない場合に確認すること

• 인증 전에 도달 가능한 엔드포인트를 센다

  헬스체크 외에 인증 불필요 엔드포인트가 없는지 확인합니다. 있다면 속도 제한과 입력 검증을 우선합니다.

• 로그에 개인정보가 포함되어 있지 않은지 샘플링으로 확인한다

  최근 로그를 추출하여 이메일 주소·전화번호·토큰이 출력되지 않는지 확인합니다.

• 의존하는 외부 API가 다운됐을 때의 동작을 확인한다

  외부 API 타임아웃 시 앱 전체가 응답 불가 상태가 되지 않는지 확인합니다.

• 인증서 만료일을 모니터링 대상에 넣었는지 확인한다

  자동 갱신 설정이 있어도 실패 시 알아챌 수단이 없으면 같은 결과가 됩니다.

• 담당자 외 인원도 기동·정지할 수 있는지 확인한다

  절차 문서를 다른 담당자에게 넘겨 실행해보게 함으로써 문서에 적히지 않은 전제 지식을 찾아냅니다.

この文書の根拠と限界

よくある質問

この文書がカバーする質問

• AI 애플리케이션 서비스화 체크리스트가 궁금하다
• AI가 만든 코드를 프로덕션에 공개하려면 무엇이 부족한가
• AI 생성 앱 보안에서 가장 먼저 확인해야 할 것은 무엇인가

リスク表示の意味

• 参照のみデータと設定を変更しません。
• 低影響は限定的ですが、権限と負荷の確認が必要です。
• 中性能・ロック・コストに影響する可能性があります。
• 高障害・データ損失・復旧作業が発生する可能性があります。
• 専門家レビュー必須本番適用前に別途レビューが必須です。

GIIPの対応範囲

위 항목들은 외부에 위탁하지 않고 자사에서 수행할 수 있습니다. 판단이 필요한 부분은 어떤 항목을 이번 릴리스까지 충족하고 어떤 항목을 다음으로 미룰지에 대한 우선순위 결정입니다. GIIP에서는 AI가 생성한 애플리케이션을 프로덕션에 올릴 때, 환경 분리와 시크릿 외부화, 롤백 절차 실측, 모니터링 연동의 3가지를 먼저 충족한 뒤 공개하는 방식으로 운영하고 있습니다. 우선순위 판단 자료가 부족한 경우, 현재 구성을 살펴본 뒤 부족한 부분을 정리해 드릴 수도 있습니다.

関連サービス

• Dev / Stg / Prod の分離を設計する
• AIアプリの本番リリース支援
• AIプロダクション運用