"AI 취약점 제보 폭탄에 정신 나갈 것 같다" 백기 든 오픈소스 전설 curl의 극약처방

요약 전 세계 거의 모든 소프트웨어와 인프라에서 쓰이는 필수 오픈소스 프로젝트 'curl'의 창시자 다니엘 스텐베리(Daniel Stenberg)가 AI를 악용한 무차별 보안 취약점 신고 폭탄에 결국 백기를 들고 파격적인 대책을 내놓았습니다. 다니엘은 최근 AI 모델을 돌려 현실에서 전혀 일어날 것 같지 않은 해괴한 옵션 조합이나 무의미한 시퀀스를 쥐어짜낸 뒤, 사소한 오작동만 생기면 무조건 취약점(CVE)이라며 보고서를 쏟아내는 보안 연구자들 때문에 핵심 개발진이 탈진 직전에 이르렀다고 토로했습니다. 실제로 최근 몇 년간 접수된 제보의 90% 이상이 위험도 낮음(LOW)이나 중간(MEDIUM) 수준의 사소한 문제들이었습니다. 이에 따라 curl 팀은 생존을 위해 취약점 공개 방식을 전면 개편하기로 결정했습니다. 위험도 HIGH나 CRITICAL에 해당하는 진짜 치명적인 취약점만 기존처럼 비공개(HackerOne)로 다루고, 나머지 LOW/MEDIUM 수준의 마이너 취약점은 전부 공개 깃허브(GitHub) 이슈로 올려 전 세계 사람들이 보게 하겠다는 방침입니다. 비공개로 접수되더라도 자체 평가 후 마이너 이슈로 판단되면 즉시 깃허브로 넘기도록 유도하고 비공개 건은 종결 처리됩니다. 보안 결함을 대중에 일찍 공개하면 악용될 위험이 일부 존재하지만, 개발진은 현재 감당할 수 없을 정도로 쏟아지는 제보의 무게를 분산하고 커뮤니티와 함께 검증하며 살아남기 위해선 어쩔 수 없는 고육지책이라고 밝혔습니다. 또한 현실에서 사용자에게 실질적인 피해를 전혀 주지 않는 억지스러운 취약점 보고에 대해서는 앞으로 더 단호하게 거부하겠다고 못 박았습니다.