Turso, 버그 바운티 프로그램 종료

데이터 손상 버그 입증 시 1,000달러를 지급하던 Turso의 버그 바운티 프로그램이 약 1년 만에 종료되었습니다.

가장 큰 원인은 **AI 생성 저품질 PR(Pull Request)**의 폭발적인 증가입니다. 보상금이 걸리자 LLM을 활용해 무의미한 버그를 주장하거나, 데이터베이스 헤더를 수동으로 망가뜨리고 소스 코드에 의도적으로 out-of-bound 접근을 넣는 등 보상만을 노린 저품질 제출이 쏟아졌습니다.

이로 인해 유지보수자들은 실제 버그를 찾는 대신, AI가 생성한 허위 주장과 논쟁을 처리하는 데 수일간의 시간을 허비해야 했습니다. Turso는 봇을 차단하는 보증(vouching) 시스템을 도입해 대응했으나, 봇들이 수동 검토를 요청하거나 유사한 PR을 반복 제출하는 등 자동화된 공격을 막기에는 역부족이었습니다.

Turso는 오픈소스 기여 생태계를 유지하기 위해 프로젝트를 폐쇄하는 대신 금전적 인센티브를 제거하는 결정을 내렸습니다. 이는 생성형 AI 시대에 오픈소스 거버넌스가 직면한 새로운 운영적 도전 과제를 시사합니다.