영국 정부, NHS 잉글랜드 오픈소스 비공개 조치 공식 뒤집어

ai.euno.news 자동 뉴스 요약

영국 정부가 자국 공공기관인 NHS 잉글랜드의 오픈소스 저장소 비공개 조치를 공식적으로 뒤집었다. 정부디지털서비스(GDS, Government Digital Service)와 과학혁신기술부(DSIT)는 지난 5월 14일 “AI, 오픈코드, 그리고 공공부문의 취약점 위험”이라는 제목의 가이던스를 내고, 공적 자금으로 만든 코드는 원칙적으로 공개해야 한다는 ‘오픈 바이 디폴트(open by default)’ 정책을 재확인했다. 보안 위생이 부실하다는 이유로, 또는 “숨기면 안전하다”는 그릇된 믿음으로 저장소를 걸어 잠그는 것은 정당한 보안 조치가 아니라는 것이 골자다. 이 사안을 9월 10일 정리해 소개한 오픈소스보안재단(OpenSSF) 블로그에 따르면, 이 가이던스는 특정 기관을 명시하지 않았지만 사실상 NHS 잉글랜드를 정조준한 반박문이다.

발단은 5월 초 NHS 잉글랜드가 내부적으로 회람한 것으로 알려진 지침 ‘SDLC-8’이다. 이 지침은 AI가 취약점 발견 속도를 크게 끌어올렸다는 이유로 수백 개 깃허브 저장소의 공개 접근을 차단하도록 했다. OpenSSF 블로그에 따르면 실제 계기는 앤스로픽의 방어적 보안 연구 프로그램 ‘프로젝트 글래스윙(Project Glasswing)‘을 통해 접수된 취약점 신고였다. 이 프로그램에서 제한적으로 접근 가능했던 ‘클로드 미소스 프리뷰(Claude Mythos Preview)’ 모델을 영국 AI안전연구소(AISI)가 지난 4월 평가한 결과, 통제된 환경에서 취약점을 자율적으로 찾아내고 실제로 악용까지 하는 능력이 확인됐다는 것이다.

문제는 그 대응이었다. 보도된 저장소 폐쇄 규모는 출처에 따라 200개에 못 미치는 수준부터 850개 이상까지 들쭉날쭉했고, NHS 산하 여러 깃허브 조직 전체가 아니라 부분적으로만 이뤄졌다. 그마저도 독립 연구자들이 이미 해당 코드를 별도로 아카이브해 둔 뒤였다. 사전 공개 협의나 공표된 위협 모델도 없었다는 점에서, OpenSSF 블로그는 이번 조치가 실질적인 공격자 우위를 없앴다는 근거 없이 수년간 이어져 온 영국 정부의 오픈소스 정책만 거스른 결정이라고 평가했다. 온라인 청원 사이트 keepthingsopen.com에는 며칠 만에 2000명 넘게 서명했고, NHSX에서 오픈 기술 정책을 직접 만들었던 테런스 에든(Terence Eden) 전 책임자는 이번 결정을 “기술적 판단이 아니라 위협 브리핑에 대한 경영진의 과잉 반응”이라고 비판하며 내부 의사결정 과정에 대한 정보공개청구(FOI)를 제기했다.

GDS 가이던스는 네 가지 권고안을 중심으로 구성돼 있다. 저장소를 공개하기 전에 담당자 지정, 취약점 신고 경로, 비밀정보 미포함, 자동화된 취약점 관리, 패치 처리 기한 같은 최소 기준을 먼저 충족할 것, 그리고 원칙적으로 공개 상태를 유지하되 비공개로 전환하려면 구체적인 위협 모델과 검토 가능한 근거를 제시할 것을 요구한다. 공개는 재사용과 외부 검증을 늘려 오히려 보안에 도움이 되는 반면, 비공개 전환은 개발 비용만 늘린다는 논리다.

OpenSSF 블로그는 이번 사안을 NHS 잉글랜드만의 문제가 아니라 구조적인 거버넌스 문제로 짚는다. GDS 표준은 영국 정부 전 부처에 적용되지만 집행력은 일관되지 않고, NHS 잉글랜드는 캐비닛 오피스의 디지털 거버넌스로부터 상당한 운영상 독립성을 갖는다. 이번 가이던스는 그 독립성이 “근거 없이 전 정부 차원의 합의된 정책을 뒤집는 데까지” 미치지는 않는다는 선을 그은 셈이다. 다만 GDS 가이던스에 담긴 나머지 세부 권고사항과 부속 고려사항 여섯 가지는 참고한 자료에서 확인되지 않아 이 기사에서는 다루지 않았다.

읽기 목록은 이 브라우저에 저장됩니다.