AI 코딩 도구가 오픈소스 소프트웨어의 보안 유지를 더 어렵게 만들고 있다는 내용의 정책 분석이 나왔습니다. AI 덕분에 코드 작성과 제출이 쉬워졌지만, 그것을 검토해 공식 버전에 포함할지 판단하는 사람(메인테이너)의 부담도 함께 커졌습니다. 오픈소스 코드는 스마트폰·자동차·클라우드 등 거의 모든 곳에 쓰이기 때문에, 여기서 발생한 보안 구멍은 매우 넓은 범위에 영향을 줍니다. 공격자 역시 AI를 활용해 취약점을 찾고 악성 패키지를 퍼뜨리는 데 활용하고 있습니다. 대부분의 기업이 자신이 사용하는 오픈소스 컴포넌트(구성 요소)의 보안 상태를 제대로 파악하지 못하는 것도 큰 문제입니다.
ACM(미국컴퓨팅학회) 기술정책위원회 소속 저자 6명이 AI 코딩 도구가 오픈소스 생태계의 유지·관리와 보안에 미치는 부정적 영향을 분석한 정책 논문을 발표했습니다.
AI로 인해 코드 제출량이 급증해 메인테이너의 검토 부담이 증가했고, 공격자도 AI를 이용해 취약점 발굴과 악성 패키지 삽입을 더 빠르게 할 수 있게 됐습니다. 오픈소스 컴포넌트가 연쇄적으로 패치를 받아야 해 기업의 대응 속도도 느려질 수 있습니다.
AI 도구로 코드 작성 장벽이 낮아진 반면 검토 인력은 그대로이며, 대부분의 오픈소스 프로젝트가 자금 부족·자원봉사 의존 구조여서 지속적인 보안 관리가 어렵습니다.
저자들은 SBOM(소프트웨어 구성 목록) 활용 확대, 프로젝트 문서화·자금 조달·거버넌스 강화를 권고했습니다. 미국과 EU도 SBOM 의무화를 추진 중이나 실제 생성·배포율은 여전히 낮습니다.
기업은 자사 소프트웨어에 포함된 오픈소스 컴포넌트의 유지·관리 현황과 보안 상태를 사전에 파악하고, 핵심 의존성을 미리 식별해 문제 발생 전에 대비해야 합니다.
본문
AI 코딩 도구가 오픈소스 소프트웨어의 유지·관리와 보안을 더 어렵게 만들고 있다는 분석이 나왔습니다. ACM(미국컴퓨팅학회) 기술정책위원회 소속 저자 6명—그 중에는 Simson Garfinkel과 Josiah Dykstra도 포함—이 이 같은 내용을 담은 글을 발표했습니다. AI 도구는 코드를 빠르게 작성하고 보안 취약점도 신속히 찾아냅니다. 그러나 어떤 코드를 공식 릴리스에 포함할지 결정하는 메인테이너들은 여전히 그 결과물을 직접 판단해야 합니다.
이 부담은 소프트웨어를 사용하는 모든 사람에게 영향을 미칩니다. 오픈소스 코드는 스마트폰·자동차·클라우드 시스템·AI 플랫폼 안에 들어 있으며, 저자들이 인용한 하버드 경영대학원 논문에 따르면 오픈소스가 없다면 기업들은 소프트웨어에 3.5배나 더 많은 비용을 지출해야 할 것으로 추산됩니다. 많은 프로젝트가 안정적인 수입원이 없어, 이들 프로젝트의 유지·관리가 미뤄지면 그 위에 구축된 소프트웨어에 보안 허점이 생길 수 있습니다.
사람이 검토해야 할 코드가 늘었다
대부분의 오픈소스 프로젝트는 외부 기여를 받아들이며, 공식 코드베이스에 무엇을 커밋(commit)—즉 반영—할지 결정하는 신뢰된 기여자 그룹을 따로 두고 있습니다. AI가 코드 작성과 제출을 쉽게 만들면서 품질이 낮은 코드도 다수 유입되고 있습니다. 저자들은 모델이 발전할수록 품질이 개선될 수 있다고 인정하지만, 늘어난 제출량을 평가하는 것은 여전히 사람의 몫입니다.
더 빠른 수정, 더 빠른 공격
전 세계가 동일한 코드를 사용하기 때문에, 거기서 취약점이 발견되면 파급 효과가 막대합니다. 인기 저장소에 악성 패키지와 코드를 심는 공격자도 늘고 있습니다.
Google에 따르면, 2025년 4월부터 10월 사이에 Google의 CodeMender 에이전트가 "450만 줄 규모의 대형 프로젝트를 포함해 오픈소스 프로젝트에 72건의 보안 수정을 기여"했습니다. 취약점을 발견하고 패치하는 모델은 공격을 구성하는 데도 활용될 수 있습니다. 저자들은 최상위 보안 모델을 신뢰된 사용자에게만 제한하는 방식이 효과가 없을 것이라고 보는데, 범용 모델이 계속해서 강력해지고 있기 때문입니다.
AI가 발견한 취약점은 조직이 더 빨리 패치하도록 압박합니다. 그런데 다수의 오픈소스 컴포넌트로 구성된 애플리케이션에서는 각 컴포넌트마다 개별 패치와 재배포가 순서대로 이루어져야 하므로 이것이 쉽지 않습니다.
자금 불균형이 심각하다
Linux Foundation은 2024년에 2억 9,221만 7,236달러의 수입을 올렸습니다. 반면 저자들이 자원봉사와 후원에 의존하는 프로젝트의 사례로 인용한 Apache Software Foundation의 수입은 237만 9,402달러로, Linux Foundation의 1%에도 미치지 못합니다. 오픈소스 전반에 걸쳐 대부분의 사용자는 비용을 내지 않는데, 이를 '무임승차 문제(free-rider problem)'라고 합니다.
자신이 무엇을 실행하고 있는지 모를 수 있다
SBOM(소프트웨어 구성 목록, Software Bill of Materials)은 애플리케이션 내부 컴포넌트를 기계가 읽을 수 있는 형태로 나열한 목록입니다. 미국과 EU의 의무화 규정에도 불구하고, 대다수 오픈소스 애플리케이션은 SBOM을 생성하거나 배포하지 않습니다. SBOM이 있더라도 어떤 컴포넌트가 포함됐는지는 알 수 있지만, 각 컴포넌트가 유지·관리되고 있는지, 자금이 있는지, 안전한지, 혹은 방치됐는지는 알 수 없습니다.
오픈소스는 프로젝트별로 거버넌스가 이루어지기 때문에 AI의 영향에 관한 생태계 전체 수치를 수집하기 어렵습니다. 저자들은 프로젝트들이 문서화·패키징·자금 조달·요구사항 수집에 더 많은 자원을 투입해야 한다고 주장합니다. 프로젝트에 무엇이 필요한지 결정하고 커뮤니티의 동의를 이끌어내는 일은 여전히 사람이 해야 하기 때문입니다. 저자들은 대부분의 기관이 자신이 사용하는 소프트웨어의 거버넌스·유지·보안 상태를 파악하는 것—무언가가 실패하기 전에 중요한 의존성을 파악하는 것—에 있어서 어쩌면 가장 큰 도전에 직면해 있다고 지적합니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
