인공지능(AI)이 소프트웨어의 보안 취약점을 찾아내는 능력을 빠르게 키우고 있지만, 이를 검증하고 수정해야 하는 개발 인력은 충분히 늘지 못하고 있다. 전 세계 웹사이트에서 널리 사용되는 오픈소스 프로그래밍 언어 PHP에서는 코드 변경 제안이 1년 새 거의 두 배 늘었지만, 이를 처리할 개발 기여자 수는 같은 비율로 증가하지 않은 것으로 나타났다.

2일 외신과 영국 오픈테크 산업단체 오픈UK 등에 따르면 AI를 활용한 취약점 탐지가 확대되면서 오픈소스 소프트웨어의 유지·보수 역량과 재정 지원 부족 문제가 부각되고 있다.

엘리자베스 배런 PHP 재단 사무총장은 최근 로이터와의 인터뷰에서 PHP 프로젝트에 제출되는 코드 변경 제안이 1년 전보다 거의 두 배 증가했다고 밝혔다. 그러나 개발 기여자 수는 그만큼 늘지 않았다고 설명했다.

코드 변경 제안과 버그 보고를 검토하는 데 상당한 사람의 노동과 경험이 필요하다는 것이다.

AI는 개발자의 작업 효율을 높이고 기존에 발견하지 못했던 취약점을 찾아내는 데 도움을 준다. 하지만 AI가 제시한 결과를 확인하고 실제 소프트웨어에 반영하는 과정에는 여전히 개발자의 판단이 필요하다.

취약점이 발견되면 실제 공격에 악용될 수 있는지 확인하고, 원인을 분석해 수정 코드를 작성해야 한다. 이후 기존 기능에 문제가 발생하지 않는지 검증한 뒤 보안 업데이트를 배포하는 과정도 거쳐야 한다.

AI를 활용한 취약점 탐지가 확대되더라도 이러한 작업을 담당할 개발 인력과 재원이 뒷받침되지 않으면 대응 부담이 커질 수 있다는 우려가 나오는 이유다.

실제 PHP의 개발과 유지·보수를 지원하는 비영리단체 PHP 재단의 상근 직원은 배런 사무총장 1명이다. 대부분 시간제로 근무하는 계약직 14명이 있으며, 이사회는 무보수 자원봉사자로 구성돼 있다. 재단은 기부금과 보조금 등을 통해 운영된다.

배런 사무총장은 전 세계 기업과 정부가 PHP에 의존하고 있는 현실을 고려하면 재단에 대한 재정 지원이 턱없이 부족하다고 지적했다.

이번 문제는 최근 PHP에서 발견된 치명적인 보안 취약점을 계기로 더욱 주목받았다.

지난 21일 PHP 개발진은 인증 없이 원격에서 임의의 코드를 실행할 수 있는 취약점 2건(CVE-2026-109618·CVE-2026-109619)을 수정한 보안 업데이트를 배포했다.

두 취약점은 AI를 활용한 보안 연구 과정에서 발견됐다. 보안업체 캘리프와 위즈, 오픈AI 등 외부 연구진과 기업들은 PHP 재단 측과 협력해 취약점을 조사하고 수정 작업을 조율했다.

PHP 개발팀은 두 취약점의 심각도를 CVSS 4.0 기준 9.2점으로 평가하고 즉각적인 업데이트를 권고했다. 임시 대응책만으로는 알려진 공격 경로를 완전히 차단할 수 없어 보안 업데이트가 필요하다고 강조했다.

이번에는 개발진과 외부 보안 연구진의 협력을 통해 패치가 배포됐지만, AI가 취약점을 찾아내는 능력이 확대될수록 이를 검토하고 수정하는 개발자들의 부담도 커질 수 있다는 지적이다.

영국 오픈UK는 최근 논평에서 PHP 보안 사태를 계기로 오픈소스 소프트웨어의 유지·보수에 필요한 재정 지원 문제를 제기했다.

매튜 로지 오픈UK 이사는 AI가 오랫동안 발견되지 않았던 취약점을 찾아내기 쉽게 만든 것은 긍정적인 변화라고 평가하면서도, 취약점 보고가 늘어나는 만큼 수정 작업을 수행할 인력이 확보되지 않으면 오히려 문제가 커질 수 있다고 지적했다.

로지 이사는 PHP 재단의 연간 운영 예산이 100만 달러에도 미치지 못한다고 밝히며 오픈소스를 활용해 수익을 얻는 기업들의 책임을 강조했다.

기업들이 클라우드 서비스와 보안 플랫폼, 호스팅 서비스 등에는 비용을 지불하면서도 정작 이들 서비스의 기반이 되는 오픈소스 프로젝트의 유지·보수에는 충분히 기여하지 않는다는 것이다.

로지 이사는 오픈소스 소프트웨어의 취약점으로부터 자사를 보호하는 데 비용을 쓰는 기업들이 해당 취약점을 수정하는 프로젝트에도 재정적으로 기여해야 한다고 주장했다.

오픈소스 보안 인력과 재정 부족은 이전부터 제기돼 온 문제다. 오픈UK는 2022년 발간한 보고서에서도 널리 사용되지만 충분한 지원을 받지 못하는 오픈소스 프로젝트의 보안 취약점 대응 부담을 지적한 바 있다.

당시 보고서는 기업 등 소프트웨어 이용 조직과 유지·보수를 담당하는 개발자 사이의 자원 격차를 문제로 꼽고, 핵심 오픈소스 프로젝트에 대한 보안 지원과 재정 지원의 필요성을 강조했다.

AI가 취약점을 찾아내는 데 걸리는 시간을 줄이고 있지만, 발견된 문제를 실제로 해결하는 데 필요한 개발 인력과 유지·보수 체계까지 같은 속도로 확충되는 것은 아니라는 점에서 오픈소스 보안의 새로운 과제로 떠오르고 있다.

sumin02@news1.kr