GenIaC-SecBench는 LLM이 생성한 인프라 코드(IaC)의 보안성을 사람이 작성한 코드와 처음으로 동일 규모 기준에서 비교한 벤치마크다. 100개 배포 시나리오를 4개 벤더 12개 모델 구성으로 생성한 1,196개 IaC와 사람이 작성한 634개 템플릿을 Checkov·Trivy·KICS 세 정책 엔진으로 스캔했다. 리소스 개수를 맞춰 비교하면 모델이 생성한 코드는 사람보다 취약점 밀도가 3.21~3.87배 높았고, 특히 리소스 1개짜리 단순 작업에서는 4.9배까지 벌어졌다가 20개 이상 복잡한 작업에서는 1.4배로 좁혀졌다. 벤더가 제공하는 확장 사고(extended thinking) 기능은 프롬프트 유도 사고사슬(CoT) 대비 취약점을 12.0%p 유의하게 줄였지만, 프롬프트 CoT 자체는 일반 생성과 차이가 없었다. 배포 가능 여부와 취약점 존재는 상관관계가 거의 없어(r=0.158), 코드가 그럴듯하게 작동한다고 안전하다는 뜻은 아님을 보여준다.

• •634개 사람 작성 IaC 템플릿과 동일 규모로 비교한 최초의 사람 기준선 확보
• •리소스 개수를 맞추면 LLM 생성 코드의 취약점 밀도는 사람 대비 3.21~3.87배, 단순 작업일수록 격차(4.9배) 더 큼
• •벤더 제공 확장 사고 API는 취약점을 12.0%p 유의하게 감소, 반면 프롬프트 유도 CoT는 효과 없음
• •배포 가능성과 보안 취약점은 상관관계 거의 없음(r=0.158)—작동한다고 안전한 코드는 아님