휴대전화, 웹 브라우저, 서버 등 현대 디지털 인프라의 근간을 이루는 23개 핵심 오픈소스 프로젝트 중 11개가 단 1~2명의 정기 기여자(contributor)에 의해 유지보수되고 있다는 분석 결과가 공개되어 충격을 주고 있습니다. 이는 널리 사용되는 기반 소프트웨어의 유지보수가 극소수 개인에게 집중되어 있음을 시사하며, 최근 발생한 XZ 백도어 사태와 같은 보안 위협에 대한 우려를 증폭시키고 있습니다.
이번 조사는 Reddit 사용자 u/Mastbubbles가 xkcd 만화 'Dependency'의 현실성을 확인하기 위해 23개 프로젝트의 공개 이력을 분석한 결과입니다. 분석에 따르면, 리눅스(Linux) 서버의 압축 도구인 XZ는 백도어 사건 이후에도 여전히 1명의 정기 기여자가 관리하고 있으며 새로운 자금 지원을 찾지 못했습니다. 안드로이드(Android), iOS 등 수십억 대 기기의 시계를 관리하는 시간대 데이터베이스(Time Zone Database) 역시 2명의 기여자가 대부분의 작업을 수행하고, 관리자 권한을 부여하는 sudo와 리눅스 셸(shell)인 bash도 수십 년간 소수의 개인에 의해 개발되어 왔습니다. 이들 프로젝트는 대부분 후원 페이지조차 없거나, 있더라도 미미한 수준의 지원을 받는 것으로 나타났습니다. 반면, Heartbleed 사태 이후 대규모 지원을 받은 OpenSSL이나 기업 지원을 받는 curl은 유급 개발자를 확보하며 기여자가 크게 늘어난 대조적인 모습을 보였습니다.
이러한 소수 의존 구조는 심각한 보안 및 지속성 문제를 야기할 수 있습니다. 한두 명의 개발자에게 핵심 지식과 책임이 집중되면, 이들이 번아웃되거나 개인적인 문제에 직면했을 때 프로젝트 전체가 위기에 처할 수 있습니다. 실제로 XZ 백도어 사태는 단 한 명의 악의적인 기여자가 시스템을 마비시킬 수 있음을 보여주었으며, bash의 Shellshock 취약점은 25년 전의 코드가 수억 대의 기기에 영향을 미칠 수 있음을 증명했습니다. OpenSSL의 Heartbleed 사태는 재난 이후에야 대규모 자금 지원이 이루어져 유급 개발자 확보와 감사 시스템 구축으로 이어졌지만, 모든 프로젝트가 이러한 기회를 얻는 것은 아닙니다. 핵심 오픈소스 프로젝트에 대한 안정적인 자금 지원과 다수의 기여자 확보는 디지털 인프라의 미래를 위해 반드시 해결해야 할 과제입니다.