오픈소스는 죽지 않았다

Cal.com이 AI를 이용한 자동화된 취약점 탐지 위협을 이유로 핵심 코드를 비공개로 전환하면서, 오픈소스 보안 전략에 대한 논쟁이 촉발되었습니다.

Cal.com의 결정 배경 Cal.com은 AI가 대규모로 취약점을 '제로 비용'에 가깝게 자동 탐지할 수 있게 됨에 따라, 소스코드 공개가 곧 보안 노출로 이어지는 시대가 되었다고 판단했습니다.

Strix의 반론: "코드를 닫는 것은 해결책이 아니다" 자율형 AI 보안 에이전트 프로젝트인 Strix는 다음과 같은 이유로 비공개 전략에 반대합니다.

• 블랙박스 공격 가능성: 자율형 AI 에이전트는 코드 접근 없이도 엔드포인트, 네트워크 트래픽, 브라우저 상태 조작 등을 통해 취약점을 찾아낼 수 있습니다.
• 보안 은폐의 한계: 코드를 숨기는 방식은 공격자의 AI 봇이 24시간 수행하는 자동화된 공격 속도를 따라잡을 수 없습니다.
• 검토 기회 차단: 비공개 전환은 선의의 개발자들이 보안 결함을 발견하고 기여할 기회를 박탈합니다.

AI 시대의 새로운 보안 전략 진정한 해법은 코드를 숨기는 것이 아니라, AI 방어를 개발 프로세스에 통합하는 것입니다.

• AI 기반 지속 검증(Continuous Validation): 개발자가 Pull Request를 생성하거나 인프라를 변경할 때 AI가 즉시 공격을 시도하여 취약점을 검증해야 합니다.
• CI/CD 통합: 보안 테스트를 자동화하여 공격 자동화보다 더 빠른 내부 자동화 대응 체계를 구축해야 합니다.