AI 활용 보안 결함 신고 쇄도...‘오픈소스 관리자들은 괴롭다’

[디지털투데이 황치규 기자]자율 인공지능(AI) 에이전트가 오픈소스 프로젝트 유지관리자들에게 대량으로 보안 결함 신고를 쏟아내면서 담당자들 부담이 가중되고 있다.

악시오스 최근 보도에 따르면 신고 대부분은 구체적 근거가 없고, 후속 질문에 답하지 못하는 수준이어서 유지관리자들 고충이 커지고 있다.

오픈소스 자율 에이전트 '오픈클로'가 등장하면서 상황은 더욱 악화됐다. 오픈클로를 이용해 오픈소스 코드를 자동 분석하고, 버그 신고를 유지관리자에게 자동 제출할 수 있기 때문

오픈소스 보안 재단 최고기술책임자(CTO) 크리스토퍼 로빈슨은 "신고자들이 유지관리자(maintainers) 후속 질문에 답하지 못하는 사례가 늘고 있다"며 "AI가 문제를 찾거나, AI 에이전트가 프로세스 전체를 자동화하고 있다는 신호"라고 말했다.

악시오스에 따르면 유명 오픈소스 프로젝트들의 경우 주당 평균 2~3건 버그 신고를 받았다. 덜 유명한 프로젝트들은 한 달에 한 건이었다. 하지만 지금은 상황이 크게 바뀌었다. 한 번에 수백 건이 들어오는 프로젝트들도 있다고 한다.

로빈슨은 "유지관리자가 검토에 2~8시간을 써야 하는데, 이 시간은 어디서도 보상을 받지 못한다"고 말했다.

상황이 심각해지자 일부 유지관리자들은 버그 포상금 프로그램 자체를 폐쇄했다. 'AI가 생성한 불량 신고'를 제출하는 이들을 아예 차단하는 경우들도 있다.

유명 오픈소스 프로젝트 '컬(curl)' 유지관리자 다니엘 스텐버그는 AI가 만들어낸 무더기 신고에 시달리다 버그 포상금 프로그램을 종료했다. 2025년 제출된 신고 가운데 유효한 건은 5% 미만이었다.