세계에서 가장 중요한 오픈소스가 '한 달간 보안 신고 안 받습니다'를 선언한 이유

여러분이 오늘 쓴 스마트폰, 자동차, 냉장고, 그리고 회사 서버. 이 안에는 거의 예외 없이 curl이라는 프로그램이 들어 있습니다. 데이터를 주고받는 일을 묵묵히 처리하는 이 작은 도구는 전 세계에 100억 개 넘게 깔려 있습니다. 그런데 이 curl의 창시자 다니엘 스텐베리(Daniel Stenberg)가 충격적인 선언을 했습니다. 2026년 7월 한 달 동안 보안 취약점 신고를 받지 않겠다는 겁니다.

세계에서 가장 중요한 오픈소스 중 하나가 보안 신고 창구를 닫는다니, 무슨 일이 벌어진 걸까요. 범인은 바로 AI 슬롭(AI slop)입니다.

AI 슬롭이란 무엇인가요

AI 슬롭은 인공지능이 그럴듯하게 만들어냈지만 실제로는 쓸모없거나 틀린 콘텐츠를 가리키는 말입니다. 슬롭(slop)은 원래 돼지에게 주는 음식물 찌꺼기를 뜻하는데요. 보기엔 내용물이 들어 있는 것 같지만 영양가는 없는 그런 상태를 비꼬는 표현입니다.

보안 분야에서 AI 슬롭은 특히 골치 아픕니다. 누군가 챗봇에게 “curl 소스코드에서 취약점을 찾아줘"라고 시키면, AI는 존재하지도 않는 함수와 줄 번호를 들먹이며 매우 전문적으로 보이는 보고서를 뚝딱 만들어냅니다. 문제는 이게 진짜처럼 보인다는 점입니다. 그럴듯한 용어, 자신감 넘치는 설명, 깔끔한 형식까지 갖췄거든요.

진짜 같은 가짜가 개발자를 질식시킵니다

여기서 핵심은 검증 비용의 비대칭입니다. AI로 가짜 보안 신고를 만드는 데는 몇 초밖에 안 걸립니다. 버튼 한 번이면 됩니다. 하지만 이걸 받은 curl 개발자는 진짜인지 가짜인지 확인하기 위해 코드를 뒤지고, 재현을 시도하고, 분석에 몇 시간을 써야 합니다.

스텐베리는 그동안 이 문제를 여러 차례 공개적으로 토로해왔습니다. curl은 해커원(HackerOne) 같은 플랫폼을 통해 취약점을 신고받고, 진짜 취약점을 찾아준 사람에게는 포상금을 줍니다. 그런데 이 포상금을 노린 사람들이 AI로 가짜 신고를 양산하기 시작한 겁니다. 받은 신고의 상당수가 알맹이 없는 AI 생성물이었습니다.

문제는 단순히 시간 낭비에 그치지 않습니다. 진짜 취약점 신고가 가짜 더미에 파묻혀 놓칠 위험이 생깁니다. 보안 시스템에서 가장 무서운 시나리오죠.

왜 하필 한 달을 멈추나요

7월에 신고를 잠정 중단하는 데는 이유가 있습니다. curl 팀은 소수의 자원봉사자와 핵심 개발자로 굴러갑니다. 거대 기업의 마케팅 부서가 떠받치는 프로젝트가 아닙니다. 여름 휴가철에 인력이 부족한 시기, 끝없이 밀려드는 가짜 신고를 검토할 여력이 없다는 현실적인 판단입니다.

이건 단순한 휴식이 아니라 일종의 경고 신호입니다. “지금 시스템이 정상 작동하지 못하고 있다"는 걸 세상에 알리는 행동인 거죠. 신고 창구를 닫는 건 오픈소스 보안 모델에서 매우 이례적인 결정입니다. 그만큼 상황이 심각하다는 뜻입니다.

이건 curl만의 문제가 아닙니다

curl이 가장 시끄럽게 문제를 제기했을 뿐, 이건 오픈소스 생태계 전체가 마주한 위기입니다. 파이썬, 리눅스 커널, 각종 주요 라이브러리의 메인테이너들이 비슷한 고통을 호소하고 있습니다. 대부분 무보수 자원봉사자인 이들에게 AI 슬롭은 마지막 한 방울이 될 수 있습니다.

생각해보면 아이러니합니다. AI는 코드를 더 빠르게 짜고 보안을 강화하는 도구로 팔리고 있는데요. 정작 그 AI가 만들어낸 쓰레기가 보안의 최전선을 지키는 사람들을 지치게 만들고 있습니다. 도구가 나쁜 게 아니라, 검증 없이 결과물을 던지는 사람들이 문제인 거죠.

마무리

curl의 결정은 작은 사건처럼 보이지만, 사실 AI 시대가 만들어낸 새로운 종류의 부담을 적나라하게 보여줍니다. 무언가를 만들어내는 비용이 0에 가까워질 때, 그것을 검증하는 사람들이 떠안는 부담은 오히려 폭발적으로 늘어납니다.

여러분이라면 어떻게 하시겠습니까. AI가 만든 보고서를 그대로 제출하기 전에, 한 번쯤 “이게 진짜 맞나” 직접 확인해보는 습관. 어쩌면 그게 우리가 의존하는 오픈소스 생태계를 지키는 가장 작은 실천일지도 모릅니다.