널리 사용되는 오픈소스 네트워킹 도구인 cURL의 개발자가 인공지능에 의해 생성된 것으로 의심되는 저품질 제출물이 급증함에 따라 목요일에 취약점 보상 프로그램을 중단했습니다. cURL의 창립자이자 수석 개발자인 다니엘 스텐버그는 이번 결정의 주된 이유로 소규모 유지 관리팀의 정신 건강을 보호해야 할 필요성을 언급했습니다.

스텐버그는 이러한 "쓰레기" 제출물이 팀의 역량을 압도하여 합법적인 보안 문제를 제대로 평가하고 대응할 수 없게 만들었다고 설명했습니다. 스텐버그는 "우리는 소수의 활성 유지 관리자가 있는 작은 단일 오픈 소스 프로젝트일 뿐입니다."라며 "이 모든 사람들과 그들의 쓰레기 기계가 작동하는 방식을 바꿀 힘이 없습니다. 우리는 생존과 온전한 정신 건강을 보장하기 위한 조치를 취해야 합니다."라고 말했습니다.

버그 바운티 프로그램을 폐지하기로 한 결정은 cURL 사용자 커뮤니티 내에서 논쟁을 불러일으켰습니다. 일부 사용자는 이해는 되지만, 외부 연구자가 취약점을 식별하고 보고하는 데 대한 주요 인센티브를 제거함으로써 도구의 전반적인 보안에 부정적인 영향을 미칠 수 있다는 우려를 표명했습니다. 이러한 우려는 버그 바운티 프로그램이 내부 보안 감사를 보완하는 비용 효율적인 방법으로 간주되어 잠재적인 결함을 포착하는 데 더 넓은 범위를 제공한다는 사실에서 비롯됩니다.

보안 전문가들은 AI가 생성한 보고서의 증가는 잠재적으로 문제가 될 수 있지만, 오픈 소스 프로젝트가 직면한 더 광범위한 과제, 즉 취약점 보고서를 효율적으로 관리하고 검증해야 할 필요성을 강조한다고 지적합니다. SANS 연구소의 사이버 보안 연구원인 알리사 존슨 박사는 "AI는 잠재적인 취약점을 식별하는 데 유용한 도구가 될 수 있지만, 오탐을 걸러내고 보고된 문제가 실제로 악용 가능한지 확인하려면 사람의 감독이 필수적입니다."라고 논평했습니다. AI가 생성한 보고서의 양이 많으면 의료 분야에서 잘 문서화된 현상인 경고 피로로 이어질 수 있으며, 과도한 경보는 개인을 실제 응급 상황에 둔감하게 만들어 중요한 대응을 지연시킬 수 있습니다.

스텐버그는 보안에 대한 우려의 타당성을 인정했지만 팀의 제한된 리소스를 강조했습니다. 그는 또한 사소하거나 명백히 결함이 있는 보고서를 제출하는 개인을 적극적으로 금지하고 공개적으로 조롱하여 시간 낭비 제출물에 대한 무관용 정책을 시사할 것이라고 밝혔습니다. 스텐버그는 별도의 게시물에서 "쓰레기 보고서로 우리의 시간을 낭비하면 당신을 금지하고 공개적으로 조롱할 것입니다."라고 썼습니다.

cURL 프로젝트는 현재 강화된 내부 코드 검토 및 신뢰할 수 있는 보안 연구원과의 협력을 포함하여 보안을 유지하기 위한 대체 방법을 모색하고 있습니다. 버그 바운티 프로그램 종료가 cURL의 보안 태세에 미치는 장기적인 영향은 아직 알 수 없지만, 이번 사건은 오픈 소스 프로젝트가 인공지능이 제시하는 과제와 기회에 적응해야 할 필요성이 커지고 있음을 강조합니다.