소프트웨어 품질의 시대인가, 타조의 시대인가?

AI 취약점 스캔은 2026년 소프트웨어 품질 유지에 필수적이며, GNOME이 스스로 취약점을 찾지 않으면 공격자가 먼저 찾을 수 있음 AI 생성 취약점 보고서의 품질은 2025년보다 크게 개선됐지만 오류가 여전히 남아 있으며, 유효한 보고서도 대량으로 쌓이면 자원봉사 유지보수자를 압도함 GNOME은 AI 생성 취약점 보고서를 허용하도록 기여 정책을 바꿔야 하며, 보고서의 품질이 아니라 AI 사용 여부만으로 접수를 거부해서는 안 됨 GNOME 버그 바운티 프로그램은 보고량을 감당하지 못해 종료됐지만, 71개 취약점에 총 183,900유로를 지급하며 GLib과 libsoup의 많은 결함을 찾아냄 AI 스캔과 인간의 보안 감사를 함께 활용해야 하며, 보고서를 허용하는 것이 자원봉사 유지보수자에게 모든 취약점을 직접 수정할 의무를 부과하는 것은 아님 AI 스캔이 바꾼 소프트웨어 품질 관리 GNOME은 주로 C, C++, Vala처럼 메모리 안전성을 보장하지 않는 언어로 작성됐으며, 숙련된 개발자도 이런 언어로 안전한 코드를 작성하기 어려움 작은 실수가 사용자에게 심각한 결과를 초래할 수 있고, 흔한 GLib 프로그래밍 오류도 반복됨 GUADEC 2024년과 2025년 발표 당시에는 인간의 실패를 피하기 어렵고 AI가 더 잘하리라고도 기대하기 어려웠지만, 이후 AI의 취약점 탐지 능력이 크게 향상됨 이제 언어 모델에 취약점 탐색을 요청할 수 있으며, fwupd의 사례처럼 잘 관리되는 프로젝트에서도 많은 버그를 찾고 있음 GLib과 fwupd에서 발견된 대규모 결함은 AI 취약점 스캔 없이 품질을 유지하기 어렵다는 판단의 근거임 Linux 사용자가 공격 대상으로 삼을 만큼 늘어난 가운데, AI는 실제로 작동하는 익스플로잇 제작도 이전보다 쉽게 만듦 탐지 가능한 취약점을 모두 해결했다면 보안과 무관한 버그도 찾아야 함 GNOME 코드는 과거보다 전반적으로 좋아졌지만 개선 여지가 크며, AI는 이전에는 현실적으로 불가능했던 수준의 품질 향상 기회를 열어줌 보고서 품질 개선과 유지보수 부담은 별개임 AI 버그 보고서 대부분이 저품질이라는 평가는 2025년 상당 기간에는 맞았지만, 2026년에는 대체로 품질이 좋아짐 Daniel Stenberg도 curl에서 같은 변화를 확인함 품질이 개선돼도 AI 보고서에는 여러 문제가 남아 있음 지나치게 장황하고 불필요하게 상세하며, 심각도를 과장하거나 오해를 부르는 무관한 내용을 넣기도 ...