AI 찌꺼기 폭주에 cURL이 버그 바운티 포기한 이유

버그 바운티는 “취약점을 찾아주면 보상하는 제도”입니다. 오픈소스 프로젝트에겐 외부 보안 연구자의 눈을 빌리는 중요한 안전장치이기도 하죠. 그런데 2026년 1월, 전 세계에서 가장 널리 쓰이는 네트워킹 도구 중 하나인 cURL이 이 버그 바운티를 접기로 했습니다. 이유는 뜻밖에도 ‘AI가 만든 저품질 보고서(일명 AI 슬롭)’의 폭증. 이 글에서는 cURL이 왜 이런 결정을 내렸는지, 사용자들이 왜 불안해하는지, 그리고 “AI 시대 오픈소스 보안”이 어디로 가야 하는지까지 한 번에 정리해보겠습니다.

cURL 버그 바운티 중단, 무슨 일이 있었나

cURL의 창립자이자 핵심 개발자인 다니엘 스텐버그는 “작은 오픈소스 프로젝트가 감당할 수 없는 수준의 제출물이 들어오고 있다”는 취지로 버그 바운티 종료를 알렸습니다. 요지는 단순합니다. 취약점이 아닌데도 그럴듯하게 꾸며진 제보들이 AI로 대량 생산되면서, 확인하는 데만 시간이 녹아내렸다는 겁니다.¹

실제로 2026년 초부터 짧은 시간에 다수의 보고서가 몰렸지만, 일부는 버그일 수 있어도 ‘보안 취약점’으로 이어지는 내용은 없었다고 합니다.² 문제는 이런 보고서가 “0원짜리 스팸”이 아니라, 검증하려면 진짜 엔지니어 시간이 필요한 “고급 스팸”이라는 점이죠.

‘AI 슬롭 보고서’가 더 위험한 이유: 그럴듯해서

예전의 허술한 스팸은 제목부터 티가 났습니다. 하지만 AI 슬롭은 다릅니다. 문장도 매끈하고, 용어도 섞여 있고, 과거 이슈를 짜깁기해 “그럴싸한 신규 취약점”처럼 보이게 만들 수 있습니다. 그러니 유지관리자는 결국 재현 환경을 꾸리고, 로그를 뜯고, 코드를 추적해야 “아… 이거 헛소리네”라는 결론에 도달합니다.

스텐버그가 강하게 말한 포인트도 여기입니다. 이해도 없이, 재현도 없이, AI가 써준 문서만 던지는 행위는 결국 프로젝트 보안을 돕는 게 아니라 보안팀에 ‘업무형 디도스’를 거는 것과 비슷해진다는 경고죠.²

“정신 건강을 위해서”라는 말이 과장이 아닌 까닭

cURL은 30년 가까이 유지돼 왔고, Windows/macOS/Linux 등 다양한 환경에 기본 포함되거나 사실상 표준 도구처럼 쓰입니다. 즉 “인터넷의 공기” 같은 존재예요. 그런데 이런 핵심 인프라도 결국 사람 몇 명이 지키는 경우가 많습니다.

버그 바운티는 원래 좋은 제도였지만, ‘돈’이라는 유인이 AI 자동화와 결합하면 이야기가 달라집니다. 누군가는 대충 그럴듯한 보고서를 자동 생성해 여러 프로젝트에 뿌리고, 한두 건이라도 걸리면 이득입니다. 반대로 유지관리자는 걸러내느라 밤샙니다. 스텐버그가 버그 바운티 종료를 “생존과 정신 건강”의 문제로 표현한 이유가 바로 여기에 있습니다.¹

사용자 반응: “증상만 치료하고 원인은 놔두는 것 아닌가?”

당연히 불만도 나옵니다. 사용자 입장에선 “보안 강화 장치 하나가 사라지는 느낌”이 들 수밖에 없거든요. 특히 cURL처럼 폭넓게 쓰이는 소프트웨어는 심각한 취약점이 실제 피해로 이어질 가능성도 커서, 외부 연구자 제보를 장려하는 구조가 중요합니다.

cURL 측도 “취약점 제보를 받지 않겠다”는 뜻은 아닙니다. 다만 “현금 보상”을 내려놓겠다는 선택이죠.³ 여기서 논쟁이 생깁니다. 보상이 사라지면 좋은 연구자들이 덜 참여하지 않겠냐는 우려, 그리고 플랫폼/생태계가 ‘AI 슬롭 필터링’을 더 잘해야 하는데 왜 프로젝트가 희생하느냐는 불만이 함께 나옵니다.

앞으로의 변화: ‘돈’보다 ‘재현 가능성’이 입장권이 된다

흥미로운 점은, 스텐버그가 단순히 “종료”만 말한 게 아니라 “시간 낭비 제보는 금지하고, 필요하면 공개적으로 지적하겠다”는 강경한 운영 방침도 내놨다는 겁니다.² 즉 앞으로는 “친절한 보상 프로그램”이 아니라, “정확한 제보만 통과하는 보안 창구”에 가까워질 가능성이 큽니다.

AI를 완전히 배척하는 것도 아닙니다. 제대로 된 연구자가 AI를 ‘보조 도구’로 쓰는 건 도움이 될 수 있습니다. 문제는 AI가 사람의 이해를 대체하는 순간부터죠. 앞으로 오픈소스 보안 제보의 기본 입장권은 더 명확해질 겁니다. 재현 절차, 영향 범위, 근거 코드, 최소 재현 예제. 이 4종 세트 없이 “AI가 취약하대요”는 점점 통하지 않을 가능성이 큽니다.

시사점 내용 (핵심 포인트 정리 + 개인적인 생각 또는 실용적 조언)...

버그 바운티 중단은 cURL이 보안을 포기했다는 선언이 아니라, 보안팀이 ‘AI 슬롭 홍수’에서 살아남기 위한 방어선 재구축에 가깝습니다. 다만 이 선택이 장기적으로 생태계에 남길 질문도 큽니다. “AI 시대의 버그 바운티는 어떻게 설계돼야 하는가?”라는 질문이죠.

만약 여러분이 오픈소스에 제보하거나 기여하는 입장이라면, AI는 초안 작성이나 단서 탐색에만 쓰고, 마지막은 반드시 사람이 검증해 재현 가능한 형태로 제출하는 습관을 들이세요. 앞으로는 그게 예의가 아니라, 참여 자격이 될 가능성이 높습니다.

참고

¹BleepingComputer | Cybersecurity, Technology News and Support

²Curl shutters bug bounty program to stop AI slop • The Register

³cURL Gets Rid of Its Bug Bounty Program Over AI Slop Overrun