curl이 7월 한 달간 취약점 신고를 안 받겠다고 선언한 이유

전 세계가 쓰는 도구의 관리자가 '여름 휴식'을 선언했어요

curl이라는 이름, 백엔드 좀 만져본 분이면 다 아실 거예요. 터미널에서 curl https://... 쳐서 데이터 받아오던 그 도구요. 그런데 curl은 단순한 명령어가 아니라, 수십억 대의 기기와 서버, 앱 안에 라이브러리 형태로 박혀서 인터넷 통신을 처리하는 인터넷의 핵심 부품이에요. 그런 curl의 메인테이너인 다니엘 스텐베리(Daniel Stenberg)가 "2026년 7월 한 달간은 보안 취약점 신고를 아예 받지 않겠다"고 선언했어요. 본인 표현으로는 "여름의 행복(summer of bliss)"이래요. 무슨 사연일까요?

진짜 문제는 'AI가 자동으로 써낸 가짜 취약점 신고'예요

배경을 알아야 이 결정이 이해돼요. curl은 보안 버그를 신고하면 포상금을 주는 '버그 바운티' 프로그램을 운영하거든요. 좋은 취지죠. 그런데 요즘 여기에 AI가 자동으로 그럴듯하게 써낸 엉터리 신고가 홍수처럼 쏟아지고 있어요. 이걸 흔히 'AI 슬롭(AI slop)'이라고 불러요. 슬롭은 '대충 만든 쓰레기'라는 뜻인데요, 누군가 챗봇한테 "curl에서 취약점 찾아서 보고서 써줘" 하고 시키면, AI가 코드를 진짜로 이해한 게 아니라 그럴듯한 보안 보고서 형식만 흉내 내서 멀쩡한 코드를 "여기 위험합니다" 하고 써내는 거예요.

문제는 이게 겉보기엔 진짜 신고랑 구분이 안 된다는 거예요. 전문 용어가 가득하고 형식도 완벽하거든요. 그래서 관리자는 "혹시 진짜 보안 구멍이면 큰일이니까" 일일이 다 열어보고 코드를 확인해야 해요. 그런데 한참 시간을 쏟아 분석하고 나면 결국 "이건 존재하지도 않는 가짜 버그였다"로 끝나는 거죠. 포상금을 노린 사람들이 AI로 신고서를 양산하니, 이런 헛수고가 끝없이 반복되는 거예요.

소수의 사람이 떠받치는 인프라, 그 무게가 한계에 왔어요

여기서 우리가 종종 잊는 진실이 하나 있어요. 전 인류가 의존하는 curl 같은 핵심 소프트웨어가, 사실은 아주 적은 수의 자원봉사 개발자들의 어깨 위에 얹혀 있다는 거예요. 보안 신고는 "혹시 진짜면?"이라는 압박 때문에 무시할 수가 없는 종류의 일이에요. 그러니 가짜가 섞인 신고가 쏟아질수록 진짜 중요한 신고는 묻히고, 관리자는 진을 빼게 되죠. 이게 쌓이면 번아웃, 즉 "더는 못 하겠다"는 탈진으로 이어지고요. 한 달간 신고를 안 받겠다는 건 화풀이가 아니라, 가장 중요한 사람들의 에너지를 지켜서 오히려 프로젝트를 더 오래 건강하게 끌고 가려는 현실적인 자기방어인 셈이에요.

업계 흐름에서 보면 '오픈소스 지속가능성' 문제예요

이 사건은 따로 떨어진 게 아니에요. 몇 해 전 전 세계가 식은땀을 흘렸던 'xz 백도어' 사건 기억하시나요? 지친 관리자에게 악의적인 사람이 슬쩍 다가가 권한을 넘겨받고 뒷문을 심을 뻔했던 일이었죠. 그 사건이 드러낸 게 바로 "우리가 공짜로 쓰는 핵심 인프라를 떠받치는 사람들이 너무 지쳐 있다"는 구조적 문제였어요. 거기에 이제 AI 슬롭이라는 새로운 부담까지 얹힌 거예요. AI가 코드 짜는 걸 도와주는 만큼, 한편으로는 저품질 신고와 가짜 정보를 대량 생산해서 관리자를 괴롭히는 양날의 칼이 됐다는 게 지금 업계의 솔직한 단면이에요.

한국 개발자에게 주는 시사점

두 가지를 말씀드리고 싶어요. 첫째, 우리가 쓰는 오픈소스 뒤엔 사람이 있어요. 이슈를 올리거나 신고를 할 때, 받는 사람이 자원봉사하는 한 명의 개발자일 수 있다는 걸 기억하면 좋겠어요. AI로 대충 만든 장문의 보고서를 던지기 전에, 내가 직접 재현해 보고 핵심만 정리해서 보내는 게 진짜 기여예요. 둘째, AI 결과물은 반드시 사람이 검증해야 한다는 교훈이에요. AI가 써준 보안 분석, 버그 리포트, 코드 리뷰를 그대로 믿고 흘려보내면 우리 자신이 'AI 슬롭 생산자'가 될 수 있거든요. 받는 쪽의 시간을 존중하는 게 결국 건강한 개발 문화의 기본이에요.

한줄 정리: AI가 만들어낸 그럴듯한 가짜의 홍수 속에서, 인터넷의 핵심을 지키는 사람들이 "잠깐 숨 좀 쉬자"고 손을 든 거예요.

여러분은 AI가 생성한 이슈나 PR, 보고서를 받아본 적 있나요? 오픈소스에 '진짜 도움이 되는 기여'란 어떤 모습이어야 할까요?