리누스 토발즈, AI 도구 쓰는 버그 헌터들에 일침

리누스 토발즈가 리눅스 커널 7.1의 릴리스후보 버전을 배포하면서, AI 도구를 사용한 버그 헌터를 향해 쓴소리를 했다.

지난 17일 리누스 토발즈는 리눅스 7.1 RC4를 배포한 문서에서 “AI 기반 버그 보고서가 계속해서 쏟아지면서 보안 목록 관리가 거의 불가능해졌다”며 “같은 도구를 사용하는 사람들이 같은 문제를 발견하면서 중복 보고가 엄청나게 발생하고 있다”고 지적했다.

그는 “사람들은 그저 담당자에게 문제를 전달하거나 이미 일주일/한 달 전에 수정됐다고 말하며 공개 토론을 참조하라고 하는 데 시간을 허비하고 있다”며 “이는 모두 무의미한 헛수고”라고 밝혔다.

그는 “AI가 발견한 버그는 본질적으로 비밀이 아니”라며 “이런 버그를 비공개 목록에서 처리하는 것은 보고자가 서로의 보고서를 볼 수 없기 때문에 중복을 더욱 악화시킬 뿐 관련된 모든 사람에게 시간 낭비”라고 덧붙였다.

토발즈는 지난달 리눅스 7.0 정식버전을 배포하면서도 AI 도구를 사용한 버그 보고서 증가에 대해 언급했었다. 당시 그는 “앞으로도 AI 도구 사용으로 인해 예외적인 상황들이 계속 발견될 것으로 예상된다”며 “적어도 당분간은 이런 상황이 새로운 정상일 수 있겠고, 두고 보면 알 것”이라고 밝혔다.

올해 들어 리눅스 커널에도 AI 도구를 사용한 버그 헌터의 보안 보고서 제출이 급증하고 있다. 일종의 AI 슬롭 현상이다. 리눅스 커널 유지관리자인 그렉 크로아-하트만은 “AI 도구와 실제로 문서를 읽는 사용자에게 더 나은 보안 버그 보고서를 보내는 방법을 알려주기 위해 security-bugs.rst 파일에 대한 몇가지 문서 업데이트를 수행했다”는 내용의 풀리퀘스트를 제출하기도 했다.

AI 도구의 발전으로 비전문가도 소프트웨어의 버그를 발견하기 쉬워졌다. 호승심이나 여러 이유로 오픈소스 프로젝트 유지관리자에게 보안 보고서를 제출하는 사례가 급증하고 있다. 제한된 인력으로 코드와 보고서를 검토하는 오픈소스 관리자의 부담이 커지는 상황이다.

리누스 토발즈는 이번에 “AI 도구는 훌륭하지만, 불필요한 고통과 무의미한 허황된 작업을 야기하기보다는 실제로 도움이 될 때만 그렇다”며 “AI 도구를 자유롭게 사용하되, 생산적이고 더 나은 경험을 제공하는 방식으로 사용하라”고 조언했다.

그는 “AI 도구로 버그를 발견했다면 다른 누군가도 같은 버그를 발견했을 가능성이 높다”며 “진정으로 가치를 더하고 싶다면 문서를 읽고 패치를 만들어 AI가 수행한 작업에 실질적인 가치를 더하고, 제대로 된 이해 없이 무작위로 버그 보고서를 보내는 사람이 되지 마라”고 적었다.

최근 오픈소스 유지관리자들은 버그 보고서뿐 아니라, AI 도구를 활용한 코드의 풀리퀘스트(PR) 폭발적 증가에 골머리를 앓고 있다.

일례로, 오픈소스 플레이스테이션3 에뮬레이터(RPCS3) 개발팀은 최근 X포럼을 통해 “AI 관련 엉터리 코드 풀리퀘스트를 제출하지 말라”며 “앞으로 이런 행위를 하는 사용자를 비공개로 차단할 예정”이라고 요청했다. 이어 “온라인에 디버깅과 코딩 방법을 배울 수 있는 자료가 많으니, 이해하지도 못하고 작동하지도 않는 허술한 코드를 작성하는 데 시간을 낭비하지 말라”고 덧붙였다.

오픈소스 게임엔진인 고드(Godot)의 프로젝트 매니저 레미 베르셸드는 연초에 “AI가 생성한 PR로 넘쳐나서 엉터리 PR을 처리하기 위해 관리자를 추가로 고용하는 걸 고려하고 있다”고 밝히기도 했다.

AI 도구는 비개발자도 코드를 빠르게 생성하게 하는데, 코드의 의미를 알지 못하는 사람도 오픈소스 관리자에게 코드 병합을 제안하게 만든다. 문제는 그런 경우가 너무 많아져 소수의 전담 유지관리자가 감당하기 힘든 규모로 PR이 제출된다는 것이다. 이미 작년말 레딧에서 AI 슬롭 PR 때문에 지쳐가고 있다는 글이 올라와 폭발적인 댓글 반응을 이끌어냈다.

글. 바이라인네트워크
<김우용 기자>yong2@byline.network