GitHub, 3주가 지나도록 악성 모방 소프트웨어를 삭제하지 않음

글쓴이임. 이 글이 HN 첫 화면에 올라온 지 약 10분 만에 GitHub가 드디어 문제의 페이지를 내렸음. 정말 대단한 우연임!
GitHub에서 가장 기본적인 지원이라도 받으려면 먼저 HN 첫 화면에 올라가야 한다는 교훈을 얻음. 마음만 먹으면 이렇게 빨리 처리할 수 있었던 셈이라 화가 남.

Google 지원에도 같은 방법이 통함. 다만 악의 때문이라고 단정하지는 않겠음. 이런 요청이 엄청나게 쌓여 있을 테고, 에이전트가 이런 행동을 자동으로 수행하기 전부터도 골칫거리였음.
서비스 쪽에서 전부 자동화할 수도 없는 일임. 적어도 삭제 여부 판단은 그러함. 완전 자동화된 절차가 실수로 정상 프로젝트를 내려 버리는 상황을 생각해 봐야 함.

사실상 대형 기업 전반에 해당함. Google 계정이 잠기거나 Apple 앱 심사가 기약 없이 멈췄다가, 관련 글이 널리 퍼진 뒤 모든 일이 해결되는 모습을 여러 번 봄.

최근 GitHub에서 Lossless Scaling의 ‘무료’ 버전을 발견했는데, 릴리스에 올라온 설치 파일은 명백한 악성코드였음. GitHub가 배포를 중단시키는 데 3일이 걸림. 신고 분류는 저작권 침해가 아니라 악성코드였음.

글쓴이임. 처음에는 사칭으로 신고했고, 며칠 뒤 악성코드라는 증거를 추가함.

글쓴이가 HN 첫 화면에 오른 덕분에 해결됐다고 본문을 수정했는데, GitHub가 첫 화면 노출 후 10분 안에 대응했을 가능성은 거의 0이라고 봄. GitHub 신뢰·안전 담당팀이 HN을 계속 지켜보고 있지는 않을 것임.
임원이나 홍보 담당자가 직접 보거나 Microsoft·GitHub 관련 온라인 언급을 추적하는 도구로 발견해 전달했더라도, 담당팀이 이메일이나 Teams 메시지를 확인하고 해당 티켓을 찾는 데만 10분 넘게 걸릴 법함. 이후 사실관계 조사와 논의를 거쳐 계정을 차단하거나 삭제해야 함. 대기열에 있던 신고를 마침 처리한 것이고, HN 노출 시점과 겹친 건 순전히 우연일 가능성이 훨씬 높음.

소셜 미디어에서 확산된 사안을 담당하는 직원의 권한이 일반적인 일선 지원 담당자보다 얼마나 큰지 지나치게 과소평가하는 듯함. 이렇게 명백한 건이라면 첫 화면에 오른 직후 누군가 알림을 받고 바로 차단 버튼을 누르는 것도 충분히 가능함. 실제로 이런 일을 여러 번 봄.

이미 문제를 파악하고 해결책까지 마련해 실행 준비를 끝냈지만, 관리자 승인 대기열에 끝없이 묶여 있다가 누군가 전화로 실행을 승인한 것이라면 우연이 아님.