데비안 리눅스, 개인 책임 하에 AI 코드 제출 허용한다

데비안 커뮤니티가 리눅스 배포판 프로젝트에 대형언어모델(LLM) 기반 AI 코딩 도구 사용을 허용할 것인가를 두고 투표를 진행했다. 전면 금지부터 제한적 허용과 전면 허용까지 8가지 선택지 가운데 다소 모호한 ‘생성형 AI의 책임있는 사용’이 최종 선택됐다.

데비안 커뮤니티는 ‘일반 결의안: 데비안에서의 LLM 사용’이란 제목의 투표를 8월중순부터 진행했고, 지난달 28일로 투표가 마감됐다.

커뮤니티 회원은 8개의 제안에 순위를 매겼다. 각 제안은 ▲사회 계약을 통한 데비안에 LLM 기여 없음 ▲조건부로 AI 지원 기여 허용 ▲가능한 한 LLM을 거부하고 행동강령 개정 ▲데비안 관련 작업에 대한 AI 기여 수락 ▲생성형 AI의 책임있는 사용 ▲생성형 AI에 대한 신중한 접근 ▲데비안은 인간이 만든 것 ▲LLM 사용을 피하라: 기후 파괴는 용납할 수 없는 문제 등이었다.

투표는 콩도르세(Condorcet voting) 방식으로 이뤄졌다. 여러 후보 중 하나를 고르는 대신, 각 후보를 양자대결로 비교해 승자를 고르고, 모든 대결에서 승리한 후보가 최종 승자가 된다. 다만, 승패가 물고 물리는 ‘콩도르세 역설’이 나타나는데, 데비안은 이런 상황을 보완하는 슈워츠 세트(Schwartz Set)를 도입해 가장 많이 승리한 후보가 최종 승리자로 결졍되는 방식을 택했다.

투표에 600여명이 참여했지만, 많은 표가 무효 처리돼 최종적으로 450표의 유효표로 집계됐다. 집계 결과 5번째 제안인 ‘생성형 AI의 책임있는 사용’이 가장 많은 선택을 받아 최종 승리자 지위를 획득했다.

앞으로 데비안 프로젝트에서 LLM 기반 코딩 도구로 작성한 코드를 제출하는 게 허용된다. AI 생성 코드란 걸 명시할 수 있지만, 의무 사항은 아니다. 대신 AI 생성 코드로 발생하는 여러 문제에 대한 책임을 기여자가 완전히 갖는다. 때문에 기여자에게 코드 제출에 이르기까지 면밀하게 AI 생성 코드를 검토할 것을 유도한다.

이 제안은 “데비안은 소프트웨어, 패키징, 문서 및 데비안 프로젝트 내에서 게시되는 기타 미디어의 개발, 유지 관리 또는 문서화에 있어 생성형 AI 도구의 사용을 지지하지도, 금지하지도 않는다”로 시작된다.

또 “데비안은 이러한 도구가 책임감 있게 사용될 경우 기여자들의 생산성을 크게 향상시켜 자원 봉사자들이 제한된 시간을 기술적 전문성, 판단력, 검토 및 협업이 필요한 작업에 더 많이 할애할 수 있도록 해준다는 점을 인지하고 있다”며 “데비안 프로젝트는 어떤 도구나 방법을 사용했는지에 관계없이 데비안에 제출되는 모든 기여물이 품질, 정확성, 유지보수성 및 법적 준수 측면에서 동일한 기준을 충족할 것을 기대한다”고 밝히고 있다.

이어 “생성형 AI 도구를 사용했다고 해서 기여자가 제출한 작업에 대한 책임이 줄어드는 것은 아니”라며 “기여자는 AI 지원 결과물을 데비안에 통합하기 전에 이해하고, 검토하고, 테스트하고, 필요한 경우 수정해야 하고, 적절한 사람의 검토 없이 AI 생성 자료를 묻지도 따지지도 않고 수용하거나 업로드하는 것은 데비안의 확립된 개발 관행에 위배된다”고 적었다.

제안문에 의하면, 데비안은 기여자에게 AI 지원 여부를 공개하도록 권장하지만, 의무 사항은 아니다. 데비안은 생성형 AI 시스템으로 생성한 자료의 저작권, 저작자 표시, 라이선스, 학습 자료의 잠재적 복제 등 미해결된 법적 문제를 해결하지 않으며, AI 생성 결과물이 전체 또는 부분적으로 저작권 보호 대상인지 또는 저작권이 있는 저작물에서 파생된 것인지에 대한 입장을 채택하지도 않는다.

대신, 데비안은 개별 기여자의 판단과 책임에 의존하고, 프로젝트 구성원은 생성형 AI 도구를 사용할 때 적절한 주의를 기울여야 하며, 자신이 기여하는 자료의 출처와 라이선스 문제를 고려해야 하고, 법적 지위를 합리적으로 정당화할 수 없는 콘텐츠를 도입하지 않아야 한다. 라이선스, 저작권, 소프트웨어 자유 및 기여 수락에 관한 기존 데비안 정책은 해당 기여물을 생성하는 데 사용된 도구와 관계없이 계속 적용된다.

기여자는 생성형 AI 도구를 통합하는 워크플로우를 설계하고 구현할 때 적절한 주의를 기울여야 한다. 특히, 기밀 정보, 개인적인 통신 내용, 보안에 민감한 정보(아직 공개되지 않은 보안 버그 관련 정보), 암호화 키, 자격 증명 및 데비안 프로젝트, 그 인프라 또는 커뮤니티와 관련된 기타 비공개 자료는 명시적으로 승인됐고 데비안의 보안 및 개인정보 보호 요건을 준수하는 경우를 제외하고 제3자 AI 서비스에 공개하면 안 된다.

대량 버그 보고 또는 패치 제출, 대규모 코드 수정, 또는 여러 패키지나 기여자에게 영향을 미치는 기타 자동화된 변경 또는 요청과 같이 프로젝트에 광범위한 영향을 미치는 작업을 수행하려는 기여자는 작업을 진행하기 전에 적절한 프로젝트 채널을 통해 사전 논의와 합의를 구해야 한다. 이러한 자동화된 프로세스는 반드시 사람이 감독해야 하며, 해당 프로세스의 동작과 결과에 대한 책임을 져야 한다.

모든 기여에 대한 책임은 제출자에게 있으며, 제출자는 해당 기여의 기술적 품질, 법적 수용 가능성 및 데비안에 포함하기에 적합한지 여부에 대해 책임을 져야 한다.

AI 코딩 도구로 만들어진 코드를 리눅스 배포판 프로젝트에 제출하는 걸 허용할 것인가는 꽤 뜨거운 논쟁거리다. 젠투(Gentoo)는 이미 2024년 4월부터 AI 도구 사용을 금지했고, 넷BSD도 곧이어 같은 조치를 취했다. 오픈BSD는 AI 코드를 저작권 보호 대상에서 제외하고 커밋 대상에서 제외했다. 단, Tmux 프로젝트의 경우 LLM 활용을 허용하고 있다. 프리BSD는 AI 코드를 허용하지 않지만 공식 지침을 내놓지 않고 있다.

리누스 토발즈의 경우 AI 도구의 활용에 찬성하는 입장이다. 지난 7월 리누스 토발즈는 “리눅스는 AI 반대 프로젝트가 아니다”라고 밝혔다. 그는 “AI는 다른 도구와 마찬가지로 유용한 도구”라며 “불과 1년 전만 해도 그렇게 ‘유용한’ 도구는 아니었을지 모르지만, 지금은 더 이상 의문의 여지가 없다”고 적었다. 이는 2024년 AI를 마케팅 과장이라고 일축했던 입장을 뒤집은 것이다.

그러나 그는 AI로 생성한 버그 보고서의 범람에 불만을 표출하며, 리눅스 보안 관리의 어려움을 토로하기도 했다. 리눅스 커널 커뮤니티는 버그 리포트 검토에 AI 도구를 도입하며 작업 부하를 줄이고 있다.

글. 바이라인네트워크
<김우용 기자>yong2@byline.network