AI 에이전트로 사이드프로젝트 만들기 — 아이디어에서 MVP 배포까지 현실적 흐름
AI 에이전트를 활용하면 아이디어를 MVP 수준의 동작 코드로 바꾸는 전체 사이클이 극적으로 짧아진다. 혼자 사이드프로젝트를 만들어보고 싶지만 개발 경험이 부족하거나 짬을 내기 어려운 사람에게 직접 유용한 내용이다. 이 글은 스펙 정리 → 스캐폴딩 → 구현 → 테스트 → 배포 5단계 흐름을 도구 조합과 함께 짚고, 비개발자가 현실적으로 기대할 수 있는 범위와 넘어서는 안 될 한계를 함께 다룬다.
AI 에이전트로 아이디어를 MVP까지 연결하는 흐름을 요약한 AI 생성 대표 이미지.
'바이브 코딩'이란 무엇이고, 왜 지금 주목받는가?
바이브 코딩(Vibe Coding)은 자연어 명세를 작성하면 AI가 전체 코드를 생성하는 개발 방식이다. 개념은 Andrej Karpathy가 2025년 2월 2일 X(트위터)에서 처음 공식 언급했고, 같은 해 콜린스 영어사전 올해의 단어로 선정될 만큼 빠르게 확산됐다. 2026년 현재는 단순한 실험을 넘어 실제 MVP 배포에 쓰이는 방법론으로 자리잡았다. 흐름은 단순하다: 의도(Intent) → 명세(Spec) → 생성(Generate) → 검토(Review) → 반복(Iterate) → 배포(Ship).
핵심은 AI가 코드를 '제안'하는 수준을 넘어 프로젝트 전체 컨텍스트를 파악하고 여러 파일을 동시에 수정하며 테스트 실패를 스스로 고치는 '에이전트' 단계에 진입했다는 점이다. 이 덕분에 개발자가 모든 단계를 직접 안내하지 않아도 목표를 기술하면 에이전트가 계획을 수립하고 실행한다.
어떤 도구를 언제 써야 하는가?
목적에 따라 최적 도구가 다르다. 아래 표가 선택 기준을 정리한다.
| 도구 | 주요 특징 | 적합한 경우 | 무료/유료 (시점에 따라 변동) |
|---|---|---|---|
| Claude Code | 터미널 기반, 코드베이스 전체 읽기/쓰기, 멀티에이전트 오케스트레이션 | 기존 프로젝트 확장, CLI에 익숙한 개발자 | Claude Pro($20/월) 이상 구독 필요; 무료 플랜 미포함 (요금제 변동 가능, 공식 사이트 확인 권장) |
| Cursor | VS Code 기반, 코드 인식 채팅, 인라인 편집 | IDE 경험 있는 개발자, 기존 코드베이스 | 무료 플랜 있음, Pro 대략 $20/월 |
| Bolt.new | 브라우저 기반 풀스택 생성, Claude 등 멀티 모델 지원, WebContainer | 빠른 프로토타입, 코드 환경 세팅 귀찮을 때 | 무료(월 1M 토큰, 일 300K 제한), Pro 대략 $25/월(10M+ 토큰) |
| Lovable | 깔끔한 React 코드, Supabase 원클릭 연동, 비개발자 온보딩 | 실제 SaaS MVP, 비개발자 창업자 | 무료(일 5크레딧, 월 30크레딧 상한), Pro 대략 $25/월(월 100크레딧) |
| v0 (Vercel) | Next.js/React 컴포넌트 특화 프론트엔드 생성 (DB 직접 내장 아님) | UI 컴포넌트 단위 작업, 기존 Next.js 프로젝트 | 무료 플랜 있음 (월 $5 크레딧), Premium $20/월 |
| Replit Agent | 30개 이상 통합, 자율도 높음, 호스팅 내장 | DB+배포를 한 곳에서, 자율 실행 선호 | Core $25/월, Pro $100/월(최대 15명); 플랜 구성은 변동 이력 있으므로 공식 사이트 확인 |
요약하면: 실제 제품을 만들 땐 Lovable, 빠른 시제품은 Bolt.new, 기존 코드베이스를 가진 개발자는 Claude Code나 Cursor가 자연스럽다.
1단계: 스펙 작성 — 45단어로도 충분하다
스펙은 정식 기획서일 필요가 없다. 앱이 한 문장으로 무엇을 하는지, 핵심 사용자 스토리 3~5개, 쓰지 않을 기능(Non-scope)을 명시하는 것으로 충분하다. AI 에이전트는 모호한 지시에 그럴듯하지만 방향이 어긋난 코드를 만드는 경향이 있어서, 스펙이 구체적일수록 반복 횟수가 줄어든다.
좋은 스펙 예시는 다음 형태다.
# 앱 명세: 습관 추적기
## 핵심 기능
- 사용자는 습관을 최대 5개 추가할 수 있다
- 매일 체크인 버튼으로 완료 표시
- 7일 스트릭(연속 달성) 표시
## 제외 범위
- 소셜 공유, 알림 푸시, 구독 결제
## 스택
- React + Supabase (인증 포함) + Vercel 배포비개발자라면 ChatGPT나 Claude에게 '아이디어를 개발 명세서 형태로 바꿔달라'고 먼저 요청하는 방법도 유효하다.
2단계: 스캐폴딩 — 뼈대를 AI가 잡는다
스펙을 전달하면 AI 에이전트는 폴더 구조, 패키지 설치, 기본 파일을 자동으로 생성한다. Claude Code를 예로 들면 코드베이스 전체를 읽고 기존 패턴을 따르는 방식으로 새 컴포넌트나 API 엔드포인트를 만들어낸다. Bolt.new나 Lovable은 브라우저에서 바로 동작하는 앱을 1~2분 안에 생성한다.
이 단계에서 중요한 것은 생성된 구조를 그대로 수용하기 전에 눈으로 확인하는 습관이다. 스캐폴딩은 방향을 설정하는 단계여서, 여기서 잘못된 기술 선택(예: 서버가 필요 없는 앱에 Express 서버 생성)을 바로잡지 않으면 이후 수정 비용이 커진다.
3단계: 구현 — 반복 프롬프팅의 실제 흐름
구현은 한 번의 프롬프트로 완성되지 않는다. 실제로는 '동작 확인 → 문제점 설명 → 재생성'의 짧은 루프를 수십 번 반복하는 과정이다. 이 루프를 효율적으로 돌리려면 한 번에 하나의 기능 단위만 요청하는 편이 유리하다.
에이전트가 잘 하는 작업과 잘 못하는 작업을 구분하면 다음과 같다.
CRUD API 생성, UI 컴포넌트 제작, 반복적인 리팩터링, 테스트 코드 초안, 라이브러리 연동 보일러플레이트
에이전트가 약한 작업
복잡한 비즈니스 규칙(예: 세금 계산, 규제 로직), 기존 코드의 암묵적 의존 관계 파악, 성능 병목 최적화, 아키텍처 수준 결정
비개발자가 막히는 지점은 대부분 에러 메시지 해석이다. 에러 전체를 복사해 AI에게 '이 에러가 왜 나는지, 어떻게 고치는지 설명해달라'고 요청하는 것이 직접 검색보다 빠른 경우가 많다.
4단계: 테스트 — AI가 만든 코드, AI가 검증하되 사람이 최종 확인
Claude Code는 테스트 실패를 감지하면 코드를 수정하고 다시 테스트를 실행하는 루프를 자율적으로 수행한다. 이 자동화는 단순 회귀 테스트에 효과적이지만, 보안과 직결된 경로는 자동화만으로는 부족하다.
AI 생성 코드의 보안 취약점 비율은 연구마다 편차가 있으나, Veracode가 100개 이상의 LLM을 대상으로 한 테스트에서 약 45%의 AI 생성 코드가 OWASP Top 10 취약점을 포함했고, 연구 방법론에 따라 25~53% 범위가 보고된다. 특히 주목할 점은 AI 도구를 쓴 개발자가 그렇지 않은 개발자보다 보안에 더 높은 자신감을 보고한다는 역설이다. Georgia Tech의 Vibe Security Radar 프로젝트에 따르면 2026년 3월 한 달에만 AI 생성 코드로 귀인(歸因)된 CVE가 35건 기록됐으며, 실제 수는 5~10배 더 많을 수 있다고 연구팀은 추정한다.
배포 전 최소 체크리스트는 다음과 같다.
# 배포 전 보안 체크 (최소)
- [ ] 환경변수(.env)가 Git에 포함되지 않았는가?
- [ ] API 키/시크릿이 클라이언트 코드에 노출되지 않는가?
- [ ] 입력값 검증(SQL Injection, XSS 방어)이 있는가?
- [ ] 인증이 필요한 엔드포인트에 인증 미들웨어가 붙어 있는가?
- [ ] 에러 메시지에 내부 경로나 스택 트레이스가 노출되지 않는가?Snyk, Semgrep, ESLint의 보안 플러그인 중 하나는 CI에 연결해두는 것을 권한다.
5단계: 배포 — 2026년 기준 무료/저비용 스택
배포 복잡도는 2026년 기준 크게 낮아졌다. GitHub에 푸시하면 자동 배포가 트리거되는 구조가 표준이다. 추천 스택은 다음과 같다.
| 역할 | 추천 서비스 | 무료 범위 (변동 가능) |
|---|---|---|
| 프론트엔드/정적 | Vercel / Netlify | 소규모 트래픽 무료 |
| 백엔드 서버 | Railway / Render | Hobby 플랜 월 일정 크레딧 |
| DB + 인증 | Supabase | 소규모 Postgres 무료 |
| 도메인 | Cloudflare | DNS 무료, 도메인 구입 별도 |
React + Supabase + Vercel 조합은 Cursor, v0, Bolt 등 주요 AI 코드 생성기의 기본 출력 스택과 일치해 별도 설정 없이 바로 연동된다. 백그라운드 잡이나 긴 처리 시간이 필요한 서비스는 Railway나 Render로 이전하면 된다.
비개발자가 현실적으로 기대할 수 있는 범위
비개발자도 단순한 CRUD 앱, 폼 + 이메일 수집, 정보 표시용 웹사이트 수준은 AI 에이전트만으로 배포 가능하다. 실제로 2026년 기준 바이브 코딩 사용자의 63%가 코딩 배경이 없다는 커뮤니티 분석 결과가 있다. 그러나 도달 가능한 범위와 넘어서는 안 될 한계는 분명히 다르다.
가능: 랜딩 페이지, 간단한 대시보드, 개인용 도구, 소규모 SaaS MVP 프로토타입, 내부 관리 도구
어려움(전문가 도움 필요): 결제 시스템(PCI 준수), 개인정보 처리 규정(GDPR/개인정보보호법), 고부하 트래픽 대응 아키텍처, 외부 감사가 필요한 금융/의료 도메인
AI가 생성한 코드는 동작처럼 보이면서 숨겨진 결함을 가질 수 있다. 예를 들어 테스트에서는 정상 작동하는 SQL 쿼리가 인젝션 공격을 막지 못하는 경우, API 연동이 데모에서는 작동하지만 자격증명을 로그에 노출하는 경우다. 비개발자일수록 이 간극을 스스로 발견하기 어렵다. 실제 사용자 데이터를 다루는 시점부터는 최소한 보안 전문가 1회 리뷰를 받는 것이 합리적이다.
도구 조합 — 단계별 실전 예시
아래는 '독서 기록 공유 앱'을 혼자 만든다는 가정의 도구 조합 예시다.
# 독서 기록 공유 앱 — 도구 조합 예시
1. 스펙 정리: Claude.ai 채팅으로 명세 초안 작성
2. 스캐폴딩: Lovable → 'React + Supabase + 인증 포함' 명세 붙여넣기
3. UI 개선: v0.dev → 컴포넌트 단위 디자인 조정
4. 로직 수정: Cursor → 기존 코드베이스에서 인라인 편집
5. 테스트: AI 생성 단위테스트 + Snyk 보안 스캔
6. 배포: GitHub → Vercel 자동 배포 (DB는 Supabase)하나의 도구만 쓰는 것보다 역할을 분리하면 각 도구의 강점을 최대한 활용할 수 있다. 다만 도구가 많아질수록 컨텍스트 전달 비용도 늘어나므로, 초기에는 Lovable 하나로 끝까지 가보는 것도 유효한 전략이다.
Claude Code는 기존 코드베이스에 특히 강하다
Claude Code는 터미널 기반 에이전트로, 프로젝트 전체 파일을 읽고 계획을 수립한 뒤 실행한다. 기존 패턴을 따르는 새 서비스나 API 엔드포인트 생성, CI 파이프라인 모니터링, 테스트 실패 자동 수정에 강점이 있다. 멀티에이전트 구조로 병렬 작업도 지원한다.
새 프로젝트를 처음 만드는 비개발자보다는 개발 경험이 있는 사람이 기존 프로젝트를 가속할 때 효과가 크다. 공식 문서는 Claude Code 공식 문서에서 확인할 수 있다. 실제 워크플로우에 적용한 경험은 Claude Code 블로그 자동화 실전기와 Claude Code 멀티에이전트 실전에서 다뤘다.
🤖 AI·자동화 가이드 더 보기
FAQ
노트 기반 스펙 작성에 관심 있다면
사이드프로젝트의 스펙과 리서치를 노트 앱에서 관리하고 AI와 연결하는 방식은 Obsidian 노트를 블로그로 변환하는 워크플로우에서 참고할 수 있다. 메모 → 스펙 → 코드로 이어지는 파이프라인을 구축하면 프로젝트 맥락이 AI에게도 잘 전달된다.
1. 바이브 코딩 워크플로우는 스펙 → 스캐폴딩 → 구현 → 테스트 → 배포 5단계로, AI 에이전트가 각 단계 실행 대부분을 담당한다.
2. 도구 선택은 목적에 따라 다르다: 빠른 프로토타입은 Bolt.new, 실제 출시 MVP는 Lovable, 기존 코드베이스 가속은 Claude Code나 Cursor.
3. AI 생성 코드의 보안 취약점 비율은 연구에 따라 25~53% 수준으로 보고된다. 외부 사용자 데이터를 다루는 순간부터는 보안 리뷰가 필수다.
다음 글 예고: AI 에이전트가 자율적으로 코드를 작성할 때 품질을 어떻게 제어하는가 — Claude Code의 서브에이전트 구조와 사람이 개입해야 할 지점을 구체적으로 다룰 예정이다.
도구 기능·가격은 업데이트가 잦아 공식 문서 재확인을 권한다.
댓글
댓글 쓰기