OpenAI가 발표한 "Patch the Planet"은 오픈소스 보안을 AI로 돕겠다는 프로그램이다. 이름은 1995년 영화 Hackers의 "Hack the Planet"을 떠올리게 하지만, 실제 내용은 꽤 실무적인 쪽에 가깝다. OpenAI는 보안 회사 Trail of Bits와 함께 오픈소스 maintainer를 지원하고, Codex Security 같은 자사 보안 도구를 이 과정에 활용하겠다고 밝혔다.
여기서 중요한 건 AI가 취약점 후보를 찾아내는 장면 자체가 아니다. 오픈소스 maintainer들이 이미 겪고 있는 문제는 "제보가 너무 적다"라기보다 "검증해야 할 리포트가 너무 많고, 실제 수정까지 갈 시간이 부족하다"에 가깝다. OpenAI도 이 점을 의식한 듯, 보안 엔지니어가 findings를 먼저 검토한 뒤 maintainer에게 전달하고, 프로젝트와 함께 패치와 테스트를 만든다고 설명했다.
이 구조에서 Trail of Bits의 역할이 핵심이다. AI가 낸 신호를 그대로 던지면 maintainer 입장에서는 또 하나의 알림함이 생길 뿐이다. 반대로 보안 엔지니어가 재현 가능성, 위험도, 수정 방향을 먼저 정리해주면 이야기가 달라진다. 특히 패치와 테스트까지 붙어 온다면, 이는 단순 리포트가 아니라 검토 가능한 작업 단위에 가까워진다.
배경에는 AI 보안 도구에 대한 불편한 긴장이 있다. Anthropic의 Mythos처럼 AI가 취약점을 찾고 exploit 작성을 돕는 도구가 주목받으면서, 같은 능력이 공격자에게도 유용해질 수 있다는 우려가 커졌다. OpenAI의 이번 시도는 그 자동화 역량을 방어 쪽으로 묶어보겠다는 메시지로 읽힌다. 취약점 탐지의 속도만 올리는 것이 아니라, 수정이 실제로 착지하는 경로를 만들겠다는 쪽이다.
물론 아직 답이 필요한 부분은 많다. 어떤 프로젝트가 우선 지원 대상이 되는지, Trail of Bits 엔지니어의 리뷰 품질을 규모가 커져도 유지할 수 있는지, maintainer가 신뢰할 만한 패치와 테스트를 꾸준히 받을 수 있는지가 관건이다. 순수 자동화 서비스처럼 끝없이 확장되는 모델은 아닐 가능성이 높다.
그래도 방향은 분명하다. Log4j 사태가 보여줬듯 오픈소스는 상업 소프트웨어 전체의 기반이지만, 그 기반을 지키는 사람과 시간은 늘 부족했다. Patch the Planet이 의미 있으려면 더 많은 경고를 만드는 데서 멈추면 안 된다. maintainer가 실제로 병합을 검토할 수 있는 수정안, 재현 가능한 테스트, 이후에도 반복 가능한 보안 워크플로를 남겨야 한다. 이번 발표에서 볼 만한 지점은 바로 그 운영의 디테일이다.