급증하는 코드 수정 제안과 정체된 개발 인력
인공지능(AI) 기술이 소프트웨어 내 보안 결함을 포착하는 속도는 비약적으로 빨라지고 있으나, 이를 검증하고 실제 코드로 구현할 전문 인력의 확충은 뒤처지고 있다. 전 세계 웹 환경의 근간이 되는 오픈소스 언어 PHP의 사례가 이를 극명하게 보여준다. 최근 1년 사이 PHP 프로젝트에 접수된 코드 변경 제안은 이전 대비 약 2배 가까이 폭증했으나, 이를 처리할 개발 기여자의 수는 그에 걸맞은 증가세를 보이지 못한 것으로 확인됐다.
영국 오픈테크 단체인 오픈UK와 외신 보도에 따르면, AI를 통한 취약점 탐지 기술의 확산은 오픈소스 소프트웨어의 유지·보수 역량 강화와 동시에 재정 지원 부족이라는 심각한 과제를 수면 위로 끌어올렸다. 엘리자베스 배런 PHP 재단 사무총장은 로이터와의 인터뷰를 통해, 프로젝트에 제출되는 코드 수정 요청이 1년 만에 거의 두 배로 늘어난 반면 기여자 규모는 정체되어 있다고 설명했다. 버그 리포트와 코드 변경안을 면밀히 검토하는 과정에는 여전히 숙련된 인간 개발자의 막대한 노동력과 경험이 필수적이기 때문이다.
AI의 탐지와 인간의 검증 사이의 괴리
AI는 개발 업무의 효율을 높이고 기존에 놓쳤던 보안 허점을 찾아내는 데 유용하게 쓰이지만, AI가 도출한 결과물을 실제 소프트웨어에 적용하기 위해서는 반드시 개발자의 판단이 개입되어야 한다. 발견된 취약점이 실질적인 공격 통로가 될 수 있는지 분석하고, 근본 원인을 파악해 수정 코드를 작성하는 과정이 뒤따라야 한다. 또한, 수정 사항이 기존 기능의 안정성을 해치지 않는지 검증한 뒤 보안 패치를 배포하는 일련의 단계 역시 인간의 영역이다. AI로 인해 취약점 발견 속도가 빨라지더라도, 이를 뒷받침할 인력과 재원이 확보되지 않는다면 개발자의 대응 부담은 감당하기 어려운 수준으로 커질 수 있다.
실제로 PHP의 운영을 책임지는 비영리단체 PHP 재단의 인력 구조는 매우 취약하다. 현재 재단에는 배런 사무총장 1명의 상근직을 제외하면, 대부분 시간제로 일하는 14명의 계약직 직원만이 존재하며 이사회는 무보수 자원봉사자들로 꾸려져 있다. 재단 운영은 주로 기부금과 보조금에 의존하고 있는데, 배런 사무총장은 수많은 기업과 정부 기관이 PHP에 의존하고 있는 현실에 비해 재정적 지원이 턱없이 부족한 상황이라고 지적했다.
보안 취약점 사태가 드러낸 오픈소스의 재정 위기
최근 PHP에서 발견된 치명적인 보안 결함은 이러한 구조적 문제를 더욱 부각시켰다. 지난 21일, PHP 개발진은 인증 없이도 원격에서 임의 코드를 실행할 수 있는 두 건의 취약점(CVE-2026-109618, CVE-2026-109619)을 해결하기 위한 보안 업데이트를 실시했다. 이번 취약점은 AI를 활용한 보안 연구 과정에서 포착되었으며, 캘리프, 위즈, 오픈AI 등 외부 기업 및 연구진이 PHP 재단과 협력하여 조사와 수정 작업을 진행했다. 개발팀은 해당 결함의 심각도를 CVSS 4.0 기준 9.2점이라는 매우 높은 수치로 평가하며 즉각적인 업데이트를 강력히 권고했다.
매튜 로지 오픈UK 이사는 AI가 숨겨진 취약점을 찾아내는 데 기여한 점은 긍정적이지만, 보고되는 취약점의 양에 맞춰 수정 인력이 확보되지 않는다면 오히려 더 큰 위기를 초래할 수 있다고 경고했다. 그는 PHP 재단의 연간 운영 예산이 100만 달러 미만이라는 점을 언급하며, 클라우드나 보안 플랫폼 등을 통해 수익을 창출하는 기업들이 정작 그 기반이 되는 오픈소스 프로젝트의 유지·보수에는 충분히 기여하지 않고 있다고 비판했다. 오픈소스의 보안 위협으로부터 스스로를 보호하기 위해 비용을 지불하는 기업들이, 그 위협을 근본적으로 해결하는 프로젝트에도 재정적 책임을 다해야 한다는 주장이다.
오픈UK는 이미 2022년 보고서를 통해 소프트웨어 이용 조직과 유지·보수 개발자 사이의 자원 격차 문제를 경고한 바 있다. AI가 취약점 발견 시간을 단축하고 있음에도 불구하고, 문제를 해결할 인력과 체계가 같은 속도로 확충되지 못하는 현상은 오픈소스 보안 분야의 새로운 도전 과제로 남게 되었다.