오픈소스 보안의 스트립 마이닝 시대에 오신 것을 환영합니다

Metabase는 2026년 1월부터 보안 취약점 제보가 월 10건에서 주 10건으로 급증했으며, 대부분이 실제 취약점이라고 보고했다. 제보 내용은 마크다운 형식에 LLM 생성으로 보이는 특징을 보였다.

원인은 AI 코딩 에이전트 기반의 자동화된 코드 스캐닝이다. Claude Code(2월 발표), OpenAI의 사이버 방어 도구 등 여러 LLM 모델이 코드베이스의 취약점을 찾는 능력이 급격히 향상되었다. 보안 연구자들은 이를 SaaS 서비스로 포장해 상용 오픈소스 프로젝트를 대량 스캔하고 결과를 제보하는 비즈니스 모델을 구축했다.

오픈소스 메인테이너에게 미치는 영향:

• 한 연구자가 발견한 취약점은 다른 도구로도 곧 발견된다고 가정해야 함
• 비공개 합의를 했더라도 취약점은 사실상 "공개된 것"으로 간주하고 즉시 수정해야 함
• 폐쇄형 소프트웨어는 자체 일정으로 수정 가능하지만, 오픈소스는 반응형 모드로 살아야 함
• Cal.com이 이러한 이유로 폐쇄형으로 전환했으며, 다른 상용 오픈소스 기업들도 따를 것으로 예상됨

오픈소스 사용자를 위한 권고사항:

• 모든 OSS 의존성에서 이번 분기 내 취약점이 공개될 것으로 가정
• 훨씬 더 빈번한 업그레이드 예산 확보
• 모든 의존성 모니터링 및 핀 고정
• 다층 방어(Defense-in-Depth) 원칙 적용
• 로깅 및 관측성 강화
• 최소 권한 원칙 철저히 준수

장기적으로는 모든 소프트웨어가 더 안전해지겠지만, 단기적으로는 오픈소스 생태계에 상당한 고통이 예상된다.