AI가 쏟아낸 가짜 버그의 습격: cURL 버그 바운티 프로그램 결국 중단

보안을 지키려던 제도가 오히려 개발자를 위협한다. 인터넷에서 가장 널리 쓰이는 네트워킹 도구 중 하나인 cURL의 개발팀이 저품질 AI 생성 리포트의 폭주를 견디지 못하고 취약점 보상 프로그램(버그 바운티)을 전격 중단했다.

cURL 버그 바운티 중단 배경: 소수 개발자가 감당 못한 'AI 슬롭'

cURL의 창시자이자 수석 개발자인 다니엘 스텐베르그(Daniel Stenberg)는 지난 2026년 1월 22일(현지 시각) 자신의 블로그를 통해 이 같은 결정을 발표했다. 그는 소수의 핵심 유지보수 관리자로 운영되는 소규모 오픈 소스 프로젝트가 인공지능이 대량으로 찍어내는 이른바 'AI 슬롭(AI Slop)' 리포트를 일일이 검토하는 것이 불가능한 수준에 이르렀다고 토로했다.

보안 공백 우려와 불가피한 선택

사용자들 사이에서는 이번 조치가 원인 해결 없이 증상만 치료하는 격이라는 비판도 나온다. 취약점 보상 프로그램이 사라지면 실제 보안 위협을 식별하고 수정할 수 있는 핵심적인 통로가 차단될 수 있다는 우려다. 스텐베르그 역시 이러한 우려에 상당 부분 동의했지만, 현재로서는 다른 선택지가 없음을 시사했다. 가짜 버그를 걸러내는 데 드는 시간적 비용이 실제 보안을 강화하는 데 써야 할 에너지를 모두 갉아먹고 있기 때문이다.