AI가 작성한 코드가 대부분인 브라우저 Northstar를 데비안과 아치 리눅스에 넣으려는 추진이 개발·보안 절차에 대한 우려로 난항을 겪고 있다. 두 배포판의 관계자들은 젊은 프로젝트의 코드 검토와 장기 보안 유지 능력을 문제로 들었다.
Nordstjernen 프로젝트는 2026년 6월 브라우저 1.0.0을 공개했다. 프로젝트는 엔진이 클로드와 Codex가 작성한 C 코드 약 8만8,000줄로 이뤄졌으며 한 사람이 전체를 읽고 감사할 수 있다고 소개했다. 같은 엔진을 공유한다고 설명하는 Northstar는 GPLv3만 적용하며, 탭·WebGL·WebGPU 등을 제외한 단일 창·단일 페이지·단일 프로세스 브라우저다. 프로젝트는 Northstar를 처음부터 작성했다고도 설명한다.
프로젝트 창립자 안드레아스 뢰스달(Andreas Røsdal)은 7월 데비안에 패키징 의향을 알리고 다음 안정판에 포함해 달라고 요청했다. 데비안 관계자 제레미 랄(Jérémy Lal)은 브라우저가 아직 새롭다며 다음 안정판을 목표로 삼지 않는 편이 좋겠다고 했다. 가르드 스프리만(Gard Spreemann)은 저장소의 전체 변경량을 근거로 코드가 쉽게 감사 가능하다는 주장에 의문을 제기했고, 사람이 코드를 검토하는지 물었다. 뢰스달은 이 질문에 답하지 않고 AI를 도입한 소프트웨어 개발의 변화를 이해하는 사람의 의견을 원한다고 말했다.
데비안 메일링 리스트에서는 장기 유지보수와 라이선스도 쟁점이 됐다. 마크 하버(Marc Haber)는 안정판의 보안 문제를 고치려면 새 버전을 올리는 것만으로는 부족하고, 다른 변경을 포함하지 않는 보안 패치를 제공해야 한다고 설명했다. 이는 최소 3년간 지원되는 버전이 필요하다는 뜻이다. 논의에서 뢰스달의 답변은 장기 지원과 보안 수정판 제공 필요성을 다루지 않은 것으로 보도됐다. 프로젝트의 라이선스 안내도 일치하지 않는다. 발표문은 경쟁 목적의 사용을 금지하고 10년 뒤 MIT 라이선스로 전환되는 자체 라이선스를 명시하지만, 저장소의 License.md는 자체 라이선스 또는 GPLv3로 제공한다고 적었다.
구글에 근무하는 테드 츠오(Ted Ts'o)는 구글의 최신 모델로 Northstar의 보안 정책과 코드에 대한 실험을 진행했다. 모델이 작성한 15쪽 보고서는 백도어를 찾지 못했다고 했지만, 보안 모델과 실제 코드 사이의 불일치와 심각한 취약점을 지적했다. 보고서에는 확장 기능을 자동으로 불러오는 문서화되지 않은 환경 설정과 모든 사이트에 웹캠 접근을 조용히 허용하는 동작 등이 포함됐다. 또 pack-appimage.sh가 검증되지 않은 바이너리를 내려받아 실행한다고 지적했다. 해당 스크립트는 이후 빌드 도구의 버전을 고정하고 실행 전에 SHA-256 합계를 확인하도록 수정됐다. 보고서는 치명적 취약점 8건과 높은 심각도의 취약점 8건을 기록했다. 이는 모델이 작성한 보고서의 결과이며, 츠오는 보안이 중요하다면 Northstar에 의존하지 말라고 권고했다.
뢰스달은 처음에는 후속 보안 검토를 환영한다고 했지만, 이후 츠오가 구글 직원이므로 편향됐다고 비판했다. 그는 데비안 대신 구글이나 기업의 편향이 없는 다른 리눅스 배포판에 집중하겠다고 밝혔다. Northstar 프로젝트는 2026년 10월부터 AI 없이 개발한다고 발표했지만, 그 뒤에도 클로드 오푸스 5.5(Claude Opus 5.5)가 공동 작성자로 표시된 커밋이 70건 넘게 있었다.
아치 리눅스에서도 패키징에 신중해야 한다는 의견이 나왔다. 아치 사용자 저장소(AUR)는 보통 사용자가 패키지를 올릴 수 있지만, 악성코드 유포를 노린 공격이 이어져 신규 계정 등록이 대부분 중단된 상태다. 아치 관계자 옐레 판 데르 바(Jelle van der Waa)는 브라우저의 보안·개인정보 위험을 고려하면 신생 프로젝트를 신뢰하기 어렵다며, 장기 유지 능력을 보이고 충분한 보안 검토를 받은 뒤 패키징을 논의하자고 했다.
보도 시점에 Northstar가 데비안이나 AUR에 곧 포함될 조짐은 없었다. 기존 브라우저에도 보안 문제가 없는 것은 아니다. 데비안은 10월 22일 Chromium 패키지에서 CVE 363건을 다룬 보안 권고를 냈고, 10월 27일 공개된 Firefox 159의 보안 권고에는 영향이 큰 취약점이 100건 넘게 기재됐다. 다만 Chromium과 Firefox에는 더 많은 개발자와 코드 검토자가 참여하고 있다. 새로운 브라우저 엔진에 대한 관심은 있지만, 기사는 주로 한 개발자와 AI가 이끄는 짧은 개발 이력의 프로젝트가 보안·개인정보 보호·안정성을 중시하는 리눅스 사용자에게 신뢰를 얻기 어렵다고 지적한다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요