curl, 7월엔 보안 취약점 신고 안 받습니다 — 왜?

curl 메인테이너 다니엘 스텐베리가 2026년 7월 한 달간 보안 취약점 신고를 받지 않겠다고 선언했다. 이름하여 '여름의 행복(Summer of Bliss)'. 이유는 명확하다. 소수의 자원봉사 팀이 쏟아지는 AI 생성 가짜 취약점 보고에 지쳐가고 있기 때문이다. 그럴듯해 보이지만 실체 없는 'AI 슬롭' 리포트를 일일이 검증하는 일은 막대한 시간과 정신적 소모를 부른다. 한 달간 신고 창구를 닫아 팀에게 진짜 휴식을 주겠다는 것이다. 핵심 인사이트는 두 가지다. 첫째, 전 세계 인프라를 떠받치는 핵심 오픈소스가 여전히 극소수의 무보수 개발자에게 의존하고 있다는 현실. 둘째, 생성형 AI가 만든 저품질 보고서가 보안 생태계의 신뢰와 자원을 좀먹고 있다는 경고다. 버그 바운티와 책임 있는 공개(responsible disclosure) 문화, 그리고 오픈소스 메인테이너의 번아웃 문제를 다시 돌아보게 하는 사건이다.