"챗봇 쥐어주니 개나 소나 화이트해커행"… 오픈소스 개발자의 절규

요약 젠투(Gentoo) 리눅스 패키지 메인테이너인 미하우 구르니(Michał Górny)가 최근 오픈소스 생태계가 겪고 있는 보안 문제의 피로감을 지적하며 ‘보안 지옥의 다음 단계’라는 글을 올렸습니다. 그는 최근 들어 "챗봇만 쥐어주면 누구나 보안 연구자가 되는 시대"가 열리면서, AI를 악용한 무의미한 저품질 취약점 제보(Slop)가 오픈소스 프로젝트에 쏟아지고 있다고 토로했습니다. 버그 바운티 프로그램들이 무분별한 AI 생성 리포트 때문에 폐지되고 있음에도 불구하고 빗발치는 제보는 멈추지 않고 있다는 것입니다. 더 큰 문제는 유효하지 않은 쓰레기 제보를 걸러낸다 해도 남은 일감이 감당 불가능한 수준이라는 점입니다. REDoS나 단순 성능 저하 수준의 버그까지 심각한 취약점으로 포장되어 턱없이 높은 위험도 점수를 단 CVE가 부여되곤 합니다. 보안 스캐너들은 실제 영향 여부와 상관없이 경고를 울려대고, 사용자들은 항의를 쏟아내기 때문에 메인테이너들은 실질적으로 시스템에 영향이 없더라도 오탐지를 막기 위해 억지로 패키지 버전을 올리거나 불필요한 안정화 작업을 강요받고 있습니다. 여기에 더해 수많은 업스트림 프로젝트들이 장기 지원(LTS)이나 보안 전용 브랜치를 제대로 운영하지 못해, 긴급 보안 패치에 대대적인 기능 변경이나 API 수정, 검증되지 않은 코드를 섞어 배포하는 악순환이 이어지고 있습니다. 이로 인해 하류(downstream) 개발자들의 부담은 한계에 달하고 있으며, 오픈소스 커뮤니티 전체가 과부하로 번아웃을 겪고 있다는 경고입니다.