GNOME, AI 취약점 신고 급증에 공개 기한 90일→30일 단축

GNOME 공식 블로그에 따르면 GNOME 보안 이슈 추적 담당자 마이클 카탄자로(Michael Catanzaro)는 인공지능 보조 취약점 신고가 늘어난 현실을 반영해 비공개 조정 기한을 90일에서 30일로 줄인다. 새 기한은 2026년 8월 1일 이후 접수되는 보안 신고부터 적용된다.

카탄자로는 AI가 만든 내용을 포함했는지에 따라 신고를 구분하지 않겠다고 밝혔다. 신고자가 AI 사용 여부를 공개하는 경우가 드문 데다, AI의 도움 없이 발견된 취약점 신고가 이제는 드물어졌다는 판단에서다. 같은 절차를 모든 신고에 적용하는 편이 더 단순하다는 설명이다.

기존 90일 기한은 프로젝트가 공개 전에 문제를 수정할 시간을 주기 위한 장치였다. 그러나 실제 GNOME 프로젝트에서는 신고 후 1~3주 안에 수정되거나, 90일이 지나도록 해결되지 않는 두 흐름이 대부분이었다고 카탄자로는 설명했다. 문제가 해결되거나 기한이 끝나는 시점에 신고를 공개하고 CVE를 요청해 온 만큼, 남는 비공개 기간이 실질적인 수정 작업으로 이어지지 않았다는 것이다.

일부 오픈소스 프로젝트는 AI가 발견한 것으로 보이는 취약점을 즉시 공개하는 방식을 택했다. 카탄자로는 AI가 찾을 수 있는 문제라면 공격자도 이미 알고 있을 수 있다는 논리는 인정하면서도, 즉시 공개는 유지관리자에게 과도한 긴급 대응 압박을 줄 수 있어 GNOME에는 맞지 않는다고 봤다. 30일 기한은 이 두 접근 사이의 절충안이다.

AI 생성 내용을 금지하는 개별 프로젝트에 대한 전달 절차도 달라진다. GNOME Security로 들어온 신고가 해당 프로젝트의 정책을 위반할 가능성이 크기 때문에, 중앙 보안 이슈 추적기에서 신고를 닫은 뒤 프로젝트 유지관리자에게 신고가 존재한다는 사실만 알릴 방침이다. 보안 신고를 계속 프로젝트 이슈 추적기에서 받으려면 AI 정책에 취약점 신고 예외를 두도록 요청했다.

보안 이슈 추적 업무의 지속 가능성도 과제로 남았다. 카탄자로는 2020년 11월부터 맡아 온 신규 보안 이슈 추적을 2026년 11월 1일부터 중단하고, 기존 신고의 공개 기한이 끝나는 12월 1일에는 업무를 마칠 계획이라고 밝혔다. 현재 이 역할을 대신 맡은 GNOME 커뮤니티 구성원은 없다고 덧붙였다.

이번 변경은 AI가 취약점 발견 과정에 빠르게 들어오면서 오픈소스 보안 조정 절차도 다시 설계되고 있음을 보여준다. 신고량과 수정 능력 사이의 간극이 커질수록 공개 기한 단축만으로는 한계가 있다. GNOME은 수작업 위키에 의존하는 현재 추적 방식을 실제 이슈 상태와 연동되는 웹 애플리케이션으로 바꾸는 방안도 과제로 제시했다.

출처: GNOME 공식 블로그 https://blogs.gnome.org/mcatanzaro/2026/07/20/some-changes-to-gnome-security-tracking/