리누스 토르발스 “AI 버그 보고서 홍수로 리눅스 보안 메일링 리스트 관리 불가능”

토르발스: “AI 보고 홍수로 보안 리스트가 감당 불가”

Linux 7.1 릴리스 후보를 발표하면서 토르발스는 커널 보안 메일링 리스트에 들어오는 AI 관련 보고 문제를 직접 언급했다.

그는 "지속적인 AI 보고의 홍수"가 보안 리스트를 **“거의 완전히 관리 불가능하게 만들었다”**고 설명했다. 특히 문제는 여러 사람이 동일한 스캐닝 도구를 사용하면서 동일한 취약점이 엄청난 중복으로 보고되는 현상이다.

토르발스는 AI 사용 자체를 반대한 것은 아니다. AI 기반 코드 분석은 유용할 수 있지만, 검증되지 않은 AI 출력물을 그대로 전달하는 보고는 오히려 유지관리자들의 시간을 낭비하게 만든다는 점을 강조했다.

왜 같은 AI 취약점이 동시에 발견될까

AI 기반 정적 분석 도구는 리눅스 커널처럼 거대한 코드베이스를 매우 빠르게 스캔할 수 있다. 문제는 많은 연구자들이 같은 시점에 같은 도구로 같은 코드를 분석한다는 점이다.

그 결과 다음과 같은 일이 발생한다.

• 여러 연구자가 동일한 버그를 독립적으로 발견
• 각각 별도의 취약점 보고서를 제출
• 유지관리자는 각 보고를 모두 검토해야 함

커널 문서에 따르면 이러한 버그는 여러 연구자에게 동시에, 심지어 같은 날 발견되는 경우도 많다고 한다.

유지관리자들은 보고가 들어올 때마다 다음을 확인해야 한다.

• 실제 버그인지 여부
• 보안 취약점인지 여부
• 현재 지원되는 커널 버전에 영향이 있는지
• 이미 수정된 문제인지

결과가 “이미 수정됨”이라 하더라도 누군가는 그 사실을 확인하고 답변해야 한다.

Linux 7.1 문서가 새로 정의한 보안 버그 보고 기준

문제 해결을 위해 리눅스 커널 프로젝트는 보안 취약점 보고 프로세스를 설명하는 문서를 업데이트했다. 이 문서는 특히 AI 보조 분석을 통해 발견된 취약점 보고의 기준을 명확히 한다.

새 문서는 다음 내용을 구체적으로 설명한다.

• 어떤 경우 비공개 보안 메일링 리스트에 CC하지 말아야 하는지
• 어떤 유형의 버그는 보안 취약점으로 취급할 필요가 없는지
• AI 기반 보고의 최소 요구 정보

또한 “보안 버그”의 정의도 명확히 했다. 일반적으로 이는 정상적으로 구성된 시스템에서 공격자가 원래 가져서는 안 되는 권한이나 능력을 얻을 수 있게 하는 문제를 의미한다.

즉, 단순한 코드 버그나 이론적인 문제까지 모두 비공개 보안 채널로 보내는 것은 적절하지 않다는 뜻이다.

보고서에 요구되는 최소 품질 기준

가장 중요한 변화는 구체적인 검증 정보 요구다.

커널 공식 문서는 모든 보안 버그 보고에 반드시 포함되어야 하는 정보로 “영향을 받는 커널 버전 범위”를 명시한다. 이 정보가 없다면 보고는 처리되지 않는다.

이 요구가 생긴 이유는 간단하다. 많은 보고가 실제로는 이미 수정된 오래된 버그이기 때문이다. 버전 정보가 없으면 유지관리자는 문제의 현재 상태를 빠르게 판단할 수 없다.

AI 보조 보고 역시 다른 버그 보고와 동일한 기준을 충족해야 한다.

• 문제에 대한 명확한 설명
• 버그를 보여주는 로그나 증거
• 최신 커널 버전에서의 검증
• 재현 가능한 정보

단순히 AI가 생성한 보고서를 그대로 전달하는 방식은 이런 기준을 충족하기 어렵다.

AI 시대 오픈소스 보안의 새로운 병목

이번 사건은 소프트웨어 보안에서 중요한 변화도 보여준다.

과거에는 버그를 발견하는 것이 가장 어려운 작업이었다. 그러나 AI 분석 도구가 발전하면서 이제는 가능한 버그 후보를 찾는 일은 훨씬 쉬워졌다.

대신 새로운 병목이 생겼다.

• 발견된 취약점의 검증
• 중복 보고의 정리와 우선순위 결정
• 실제 수정 작업

즉, 버그 발견 속도는 AI가 끌어올렸지만 검증과 해결은 여전히 인간의 몫이다.

리눅스 커널 커뮤니티의 대응은 AI를 금지하는 것이 아니다. 대신 AI로 발견된 취약점이라도 유지관리자 수준의 검증과 근거를 갖춘 보고만 제출하라는 것이다.

결국 메시지는 단순하다. AI는 버그를 찾는 데 도움을 줄 수 있지만, 그 문제를 이해하고 검증하고 수정하는 책임은 여전히 사람에게 있다.