2026년 5월 26일 - 링크 블로그

(압박감) (via) Daniel Stenberg는 (신뢰할 수 있는) AI 지원 보안 이슈들이 쏟아져 들어옴에 따라 curl 팀이 현재 직면하고 있는 전례 없는 수준의 압박감에 대해 언급했습니다.

접수되는 보안 보고서의 속도는 2024년보다 4~5배 더 높고 2025년보다 두 배 더 빠릅니다. 이는 평균적으로 이제 하루에 하나 이상의 보고를 받는다는 것을 의미합니다. 보고서의 품질은 그 어느 때보다 훨씬 높습니다. 보고서들은 보통 매우 상세하고 깁니다. [...] 내 인생 처음으로, 아내가 나의 업무 시간과 불균형한 워크 라이프 밸런스(work/life situation)에 대해 우려를 표했습니다. 나는 이전보다 더 많이 일하고 있지만, 보고서의 홍수는 계속해서 밀려옵니다. [...]

이것은 curl 프로젝트와 그 보안 팀원들이 이전에 본 적도, 경험한 적도 없는 압박감입니다. 프로젝트의 다른 모든 일을 제쳐두어야 할 만큼 우선순위가 높은 업무의 눈사태이며, 이는 주로 정신적인 문제입니다. 우리가 원한다면 이 모든 것을 무시할 수도 있겠지만, 우리는 책임감을 느끼고 있으며, 양심이 있고, 우리의 작업에 자부심을 느끼기 때문입니다.

좋은 소식은 curl은 매우 견고한 소프트웨어라는 점이며, 따라서 사람들이 찾아내는 취약점들은 심각도(severity)가 높지 않은 경향이 있다는 것입니다:

또한 긍정적인 추세는 심각한 취약점을 찾는 사람이 거의 없다는 것입니다. 지난 몇 년 동안 curl에서 발견된 모든 취약점은 모두 심각도가 낮음(LOW) 또는 중간(MEDIUM)으로 판정되었습니다. 앞으로 심각도 높음(HIGH)이 절대 없을 것이라고 말하는 것은 아니지만, 적어도 그것들은 드뭅니다. 가장 최근의 심각도 높음(HIGH) 등급 curl CVE는 2023년 10월에 발표되었습니다.