AI 시대의 보안, 50개 오픈 소스 프로젝트가 주는 교훈

AI는 오픈 소스 개발 속도를 높이는 동시에 새로운 공격 표면을 만들어 보안 과제를 던지고 있다. GitHub Secure Open Source Fund는 이러한 변화에 대응하기 위해 Session 4에서 50개 프로젝트에 50만 달러 이상을 투자하여 보안 역량 강화를 지원했다.

이번 프로그램의 핵심은 AI가 유지 관리자(Maintainer)의 조사, 우선순위 선정, 대응 속도를 높이는 데 도움을 준다는 점이다. 다만, 최종적인 판단과 책임은 여전히 인간 유지 관리자의 몫으로 남는다.

참여 프로젝트들은 다음과 같은 구체적인 보안 개선을 이루었다:

• 사고 대응 계획(Incident response plan) 수립
• GitHub security tooling 활용 확대
• GitHub Actions 워크플로우 감사
• 보안 이슈 식별 및 대응 프로세스 강화

전체 프로그램 성과를 보면, 지금까지 188개 프로젝트와 290명의 유지 관리자가 참여했으며, 총 188만 달러 이상의 자금이 투입되었다. 이를 통해 533개의 새로운 CVE를 식별하고 1,500건 이상의 Dependabot 보안 업데이트를 수행하는 등 생태계 전반의 회복탄력성을 높였다.

프로그램은 3주간의 스프린트와 12개월의 참여로 구성되며, 각 프로젝트는 GitHub Sponsors를 통해 1만 달러의 지원금을 받는다. 참여 프로젝트는 GitHub Security Lab 전문가의 교육과 함께 AI 보안 및 취약점 관리 등의 전문적인 지원을 받게 된다.