Ladybird, 공개 PR 중단…AI 시대 브라우저 오픈소스 보안 모델 재정비

Ladybird Browser Initiative 공식 발표에 따르면 오픈소스 브라우저 프로젝트 Ladybird는 2026년 6월 5일부터 공개 풀리퀘스트를 더 이상 받지 않기로 했다. 앞으로 Ladybird 코드베이스에 들어가는 변경은 프로젝트 메인테이너가 직접 도입하는 방식으로만 처리된다.

Andreas Kling은 공식 블로그 글에서 Ladybird가 첫 알파 릴리스를 준비하는 단계에 들어섰으며, 더 엄격한 개발 프로세스와 명확한 보안 모델, 코드 유입 책임 주체가 필요해졌다고 설명했다. 이미 열린 공개 PR은 닫을 예정이며, 이슈·댓글·이메일·포크를 통한 별도 패치 제출 절차도 만들지 않겠다고 밝혔다.

이번 결정의 배경에는 AI 개발 도구 확산이 있다. Ladybird 측은 AI 도구를 매일 사용하고 있다고 전제하면서도, 대규모 패치 제출이 예전처럼 제출자의 상당한 노력과 선의를 보여주는 신호로 보기 어려워졌다고 지적했다. 브라우저는 인터넷의 신뢰할 수 없는 입력을 사용자 기기에서 처리하는 소프트웨어인 만큼, 정교하게 숨겨진 취약점 하나가 공격자에게 충분할 수 있다는 설명이다.

Ladybird는 오픈소스 지위를 유지한다. 소스 코드는 계속 공개 라이선스로 제공되며, 외부 참여도 버그 리포트, 축소 재현 사례, 웹사이트 테스트, 표준 논의, 설계 토론, 보안 제보, 기술 피드백 등으로 이어질 수 있다고 밝혔다. 다만 외부 포크나 패치 덤프를 upstream 검토 대기열처럼 다루지는 않겠다는 방침이다.

이번 변화는 AI 시대 오픈소스 프로젝트의 신뢰 모델이 달라지고 있음을 보여준다. 과거에는 공개 기여 과정 자체가 기여자 신뢰를 형성하는 통로였지만, AI가 코드 생산 비용을 낮추면서 프로젝트가 ‘누가 작성했는가’보다 ‘누가 책임지는가’를 더 중시하는 방향으로 이동하고 있다. 특히 브라우저처럼 보안 민감도가 높은 프로젝트에서는 개방성과 공급망 보안 사이의 균형이 주요 쟁점이 될 가능성이 크다.

출처: Ladybird Browser Initiative 공식 블로그, “Changing How We Develop Ladybird” https://ladybird.org/posts/changing-how-we-develop-ladybird/