GitHub이 보안 연구자를 추방했다 — 플랫폼이 무기가 되는 순간

보안 연구자가 윈도우 제로데이 PoC(Proof of Concept)를 GitHub에 올렸다가 계정이 통째로 날아갔습니다. 그런데 이 GitHub의 주인이 누군지 아십니까. 바로 그 윈도우를 만든 마이크로소프트입니다. 코드 호스팅 플랫폼이 모회사의 평판 리스크를 방어하는 도구가 되는 순간, 오픈소스 생태계가 오랫동안 믿어온 중립성 신화가 한 번에 무너집니다.

무슨 일이 벌어진 건가

사건의 골자는 단순합니다. 한 보안 연구자가 패치되지 않은 윈도우 취약점에 대한 익스플로잇 코드를 자신의 GitHub 리포지토리에 공개했습니다. 며칠도 채 지나지 않아 해당 계정은 정지됐고, 리포지토리 전체가 비공개 처리됐습니다. 사유는 “악성 콘텐츠 정책 위반"이었습니다.

문제는 이 절차의 비대칭성입니다. 다른 운영체제(리눅스, 안드로이드, macOS)의 제로데이 PoC는 GitHub에 수년째 자유롭게 올라오고 있습니다. 그런데 유독 윈도우 관련 PoC만 빠르고 단호하게 처리됐다는 점이 연구자 커뮤니티가 분노하는 지점입니다.

“정책 위반"이라는 말의 함정

GitHub의 Acceptable Use Policy는 “active malware or exploits"를 금지합니다. 표면적으로는 합리적입니다. 누가 봐도 악성코드 저장소는 막아야죠. 그런데 보안 연구의 본질은 공격을 재현 가능하게 만드는 것입니다. PoC 없는 취약점 보고는 “어딘가에 구멍이 있다"는 추상적 주장에 불과합니다.

업계가 수십 년간 쌓아온 Coordinated Disclosure의 원칙은 이렇습니다. 연구자가 벤더에 먼저 알리고, 일정 기간(보통 90일) 안에 패치가 나오지 않으면 공개한다. Google Project Zero가 정착시킨 이 룰은 사실상 업계 표준입니다. 그런데 이번 케이스는 90일이 지났음에도, 패치가 늦어진 책임을 연구자에게 돌리는 모양새가 됐습니다.

플랫폼 소유자가 곧 이해당사자일 때

이 사건이 단순한 계정 정지를 넘어 구조적 문제로 번지는 이유가 여기 있습니다. GitHub은 전 세계 개발자의 사실상 표준 인프라입니다. 1억 명이 넘는 개발자가 코드를 올리고, 협업하고, 이력을 쌓는 공간이죠. 그런데 그 플랫폼의 소유주가 마이크로소프트라면, 마이크로소프트 제품의 약점을 폭로하는 사람은 어떻게 됩니까.

답은 이미 나왔습니다. 계정을 잃습니다. 그리고 GitHub 계정을 잃는다는 건 단순히 파일 하나를 잃는 게 아닙니다. 수년간의 커밋 히스토리, 오픈소스 기여 이력, 동료 네트워크, 채용 시장에서의 신원 — 이 모든 게 한 번에 사라집니다. 개발자에게 GitHub 계정은 이력서이자 명함입니다.

비슷한 패턴이 보이는 다른 사례들

이런 게 처음은 아닙니다. AWS가 자사 서비스와 경쟁하는 오픈소스를 베껴서 매니지드 서비스로 출시한 사건, 구글이 검색 알고리즘으로 자사 제품을 우대해 EU에서 벌금을 맞은 사건, 애플이 앱스토어 심사 권한으로 경쟁 앱을 거부한 사건. 패턴은 동일합니다. 인프라를 가진 자가 그 인프라 위에서 경쟁하면, 심판이 동시에 선수가 됩니다.

이번 GitHub 케이스의 차별점은 “경쟁"이 아니라 “평판"이 걸렸다는 점입니다. 윈도우 제로데이가 떠도는 건 마이크로소프트 입장에서 매출보다 더 민감한 이슈입니다. 엔터프라이즈 고객의 신뢰가 흔들리고, 보안 등급 평가에 영향을 주니까요.

그래서 보안 커뮤니티는 어디로 가나

이미 움직임이 보입니다. 일부 연구자들은 GitLab, Codeberg, sourcehut 같은 대안 플랫폼으로 PoC를 옮기고 있습니다. exploit-db, Packet Storm 같은 전통적인 보안 아카이브도 다시 주목받고 있고요. 자체 호스팅 Gitea 인스턴스를 운영하는 연구자도 늘고 있습니다.

하지만 현실적으로 GitHub의 네트워크 효과를 떠나는 건 쉽지 않습니다. 동료들이 다 거기 있고, 채용 담당자가 보는 것도 거기니까요. 그래서 더 무서운 겁니다. 떠날 수 없는 플랫폼이 검열 권한을 행사할 때, 사용자에게 남는 선택지는 침묵뿐입니다.

마치며

이 사건의 본질은 “한 명의 연구자가 부당하게 추방됐다"가 아닙니다. 오픈소스 생태계가 의존하는 인프라가 특정 기업의 이해관계에 종속될 때, 표면적으로는 정상 작동하는 것처럼 보여도 보이지 않는 곳에서 정보가 사라진다는 사실입니다.

다음에 누군가 윈도우 취약점을 발견했을 때, 그는 무엇을 선택할까요. 책임감 있게 공개해서 계정을 잃을 위험을 감수할까요, 아니면 다크웹 시장에 익스플로잇을 팔아 익명으로 돈을 벌까요. 플랫폼이 정직한 연구자를 처벌할수록, 정직하지 않은 거래만 살아남습니다. 이게 우리가 진짜 걱정해야 할 시나리오입니다.