지난주 개발자 테리 고디어는 '다크 아워스(Dark Hours)'라는 웹 유틸리티를 공개했다. 그날 밤 하늘에서 무엇을 볼 수 있는지 알려주는 간단한 천문 관측 도구였다. 그런데 하루 만에 그는 이 프로젝트를 접고 도메인을 다른 사람에게 넘겼다. 이미 'DarkHours.app'이라는 이름의 웹 앱을 만든 다른 개발자가 블루스카이(Bluesky)에서 그의 글에 답글을 달며, 자신의 프로젝트와 이름은 물론 기능까지 놀랄 만큼 비슷하다고 지적했기 때문이다.
고디어는 처음에는 기능을 크게 차별화하고 이름을 바꾸며 상대방의 프로젝트를 소개하는 글을 쓰겠다고 답했다. 그러나 약 한 시간 뒤, 자신이 클로드(Claude)를 이용해 만든 웹 앱이 상대의 오픈소스 프로젝트와 지나치게 흡사하다는 사실이 분명해졌다. 결정적으로, 원저작자가 이후에 수정했던 버그까지 그대로 재현되어 있었다. 그는 더 이상 손댈 것이 없다고 판단하고 도메인을 원저작자에게 직접 연결했으며, 준비 중이던 iOS 앱 출시 계획도 폐기했다.
버그까지 복제된다는 사실이 말해주는 것
이 사건에서 실무자가 주목할 지점은 이름의 우연한 중복이 아니라, '이미 고쳐진 버그가 다시 나타났다'는 대목이다. 생성형 AI 코딩 도구는 공개된 코드와 데이터를 학습해 결과물을 만들어낸다. 특정 오픈소스 저장소의 초기 버전이 학습 데이터에 포함되어 있었다면, 모델은 그 시점의 결함까지 함께 재생산할 수 있다. 결과물이 겉보기에 그럴듯하게 동작하더라도, 그것이 어디에서 온 구조인지, 어떤 라이선스 아래 있던 것인지는 코드 자체만 봐서는 드러나지 않는다. 버그의 재현은 그 출처를 역으로 드러낸 단서였던 셈이다.
고디어는 자신이 DarkHours.app을 사전에 본 적이 전혀 없었다고 밝혔다. 즉 의도적인 표절이 아니었다는 것이다. 그럼에도 그는 AI에 의존해 프로젝트를 생성하면서 그것이 기존 프로젝트와 얼마나 닮았는지 확인하는 작업을 게을리했다는 점을 자신의 책임으로 인정했다. 악의가 없었다는 사실과, 공개된 결과물에 대한 책임은 별개라는 태도다.
검증 없는 자동 생성의 사각지대
한국의 개발 조직에도 시사점이 적지 않다. AI 코딩 도구가 빠르게 확산되면서 '프롬프트 몇 줄로 완성된 앱을 만든다'는 방식이 흔해지고 있다. 하지만 이 사례는 그렇게 생성된 산출물이 기존 저작물과 유사할 수 있다는 위험을 단적으로 보여준다. 특히 사내 서비스나 상용 제품에 AI 생성 코드를 그대로 반영할 경우, 라이선스 위반이나 저작권 분쟁의 소지가 생길 수 있다. 생성된 코드의 출처를 사후에 추적하기 어렵다는 점은 문제를 더 까다롭게 만든다.
실무적으로는 몇 가지 방어선을 생각해볼 수 있다. AI로 초안을 만들더라도 공개 배포 전에 유사 프로젝트나 동일 이름의 서비스가 있는지 검색하는 절차, 생성된 코드가 특정 오픈소스와 구조적으로 겹치지 않는지 점검하는 과정, 그리고 무엇을 어떤 도구로 만들었는지 기록해두는 습관이다. 고디어가 사후에 겪은 혼란은 이런 확인 절차가 사전에 없었기 때문에 발생했다. AI는 생성 속도를 높여주지만, 그 속도가 검증의 생략을 정당화하지는 않는다.
고디어는 앞으로 이런 방식으로 AI를 이용해 웹 결과물을 만들지 않겠다고 밝혔다. 다만 iOS 소프트웨어에서는 애초에 이 정도로 AI에 의존한 적이 없으며, 질문을 하거나 버그를 디버깅하는 보조적 용도로만 쓴다고 덧붙였다. 이는 AI를 전면 거부하는 것이 아니라, '보조 도구로서의 AI'와 '창작 주체로서의 AI'를 구분하려는 태도로 읽힌다.
한 가지 유의할 점은 이 이야기가 한 개인의 자기 반성 형식으로 공개된 글이라는 것이다. 유사성의 정도나 버그 재현의 구체적 양상은 당사자들의 설명에 근거한 것이며, 법적 판단이 내려진 사안은 아니다. 그럼에도 이 사례가 의미 있는 이유는, AI 생성물이 초래할 수 있는 문제를 당사자가 은폐하기보다 공개적으로 인정하고 원저작자에게 결과물을 넘겼다는 점에 있다. 도구가 빠르게 진화하는 만큼, 그 도구로 만든 것에 대한 책임을 누가 어떻게 질 것인가라는 질문은 더 무거워지고 있다.