인터넷을 떠받치는 사람들

• 휴대전화·브라우저·서버가 의존하는
  오픈소스 프로젝트 23개 중 11개는 최근 1년간 정기적으로 코드를 변경한 사람이 한두 명뿐이었음 40억 대 휴대전화의 시간대를 관리하는 Paul Eggert, core-js의 Denis Pushkarev, sudo의 Todd Miller처럼 일상의 디지털 기능이 소수 개발자의 지속적인 작업에 기대고 있음xz 백도어 사건에서는 무급 유지보수자의 부담과 외부 계정의 압박 속에 새 기여자의 권한이 확대됐으며, 사건 뒤에도 기존 유지보수자가 2025년 변경의97%를 작성함Heartbleed 이후 OpenSSL에는 기업 자금과 유급 개발자가 유입돼 정기 기여자가 늘었지만, xz에서는 백도어 발견 이후 새로운 자금 지원을 확인하지 못함- 공공 기금과 기업 후원은 존재하지만
  지원금을 신청하고 결과를 보고할 조직이 필요하며, 널리 쓰이는 기반 소프트웨어를 관리하는 개인에게 지원이 충분히 닿지 않고 있음

작은 프로젝트 위에 선 디지털 인프라

• xkcd의
  Dependency는 현대 디지털 인프라 전체가 이름 모를 개인이 오랫동안 관리한 작은 프로젝트에 기대 서 있는 모습을 그린 만화임 - 이 그림이 현실과 얼마나 가까운지 확인하기 위해
  휴대전화·브라우저·서버가 의존하는 23개 프로젝트의 공개 변경 이력을 분석함 - 최근 1년간 변경을 10건 이상 작성한 사람을 정기 기여자로 집계한 결과,
  11개 프로젝트에서 한두 명이 정기적인 작업을 수행하고 있었음

40억 대 휴대전화의 시간을 관리하는 사람

**시간대 데이터베이스(tzdb)**는 각국 정부가 정한 시간대와 서머타임 규칙을 담으며, Android·iPhone과 인터넷 서버 대부분이 현지 시각을 계산하는 데 사용함- UCLA에서 컴퓨터과학을 가르치는
Paul Eggert가 여가 시간에 관리하며, 2012년부터 공식 조정자를 맡고 있음- Android와 iPhone만 합쳐
40억 대 이상이 사용하며, 서버와 Mac·노트북은 이 수치에서 제외됨 - 최근 1년간 변경 251건 중
218건은 Eggert, 28건은 Tim Parenti가 작성함

• Android와 iPhone만 합쳐

• 2026년 9월 배포본에는 캐나다 Manitoba의 서머타임 폐지에 맞춰, 휴대전화가 11월에 시계를 한 시간 되돌리지 않도록 하는 변경이 들어감

• 두 자원봉사자가 시행 한 달 전에 반영한 규칙임

• 2011년에는 과거 시간대 정보의 저작권을 주장한 회사의 소송으로 메일링 리스트와 다운로드 사이트가 일시 중단됨

• IANA가 운영을 인수하고 EFF가 무료 변호를 제공했으며, 소송은 이듬해 취하됨

• Eggert는 2020년 자신이 은퇴 등으로 대응하지 못할 때를 대비해
  Tim Parenti를 대체 담당자로 지정해 달라고 요청함

xz 백도어 이후에도 다시 혼자 남은 유지보수자

• 핀란드의
  Lasse Collin은 널리 쓰이는 압축 도구xz를 관리하며, 2022년 메일에서 이를무급 취미 프로젝트라고 밝힘- 장기간의 정신건강 문제로 유지보수에 쏟을 여력이 제한돼 있다고 설명함

• 외부 계정들이 수개월간 개발 속도를 압박하는 동안,
  Jia Tan은 유용한 수정 사항을 제출하며 신뢰를 쌓음- 접근 권한이 확대된 뒤 2023년에는 Jia Tan이 Collin보다 더 많은 변경을 작성함

• 2024년 Jia Tan이 배포한 버전에
  Linux 서버 침입을 위한 백도어가 들어감- Microsoft 엔지니어
  Andres Freund가 로그인 과정의 비정상적인 CPU 사용을 조사하다 발견했으며, 대부분의 Linux 시스템에 배포되기 전이었음

• Microsoft 엔지니어

• 사건 뒤 작업은 다시 Collin에게 집중됐으며,
  2025년 변경의 97%를 그가 작성함

개인의 사정이 곧 프로젝트의 사정이 됨

core-js의 Denis Pushkarev는 오래된 브라우저에서 새로운 JavaScript 기능을 사용할 수 있게 하는 코드를 개발함- 본인 집계로 세계에서 방문자가 가장 많은 웹사이트 1,000개 중 약 절반에서 실행됨

• 2019년 전업으로 개발하면서 기부로 모은 돈은
  월 57달러였음

• 설치 메시지에 도움이나 일자리를 요청하는 문구를 넣었지만, 이를 본 많은 개발자는 메시지에 불만을 제기함

• 교통사고 이후 2020년 약 10개월간 수감됐을 때
  다운로드는 거의 두 배로 늘었지만 개발 이력은 사실상 멈춤- 2026년에도 변경의
  **95%**를 작성했으며, 조사 당시 GitHub 후원자는 2명이었음

• 2026년에도 변경의
  sudo의 Todd Miller는 1990년대 초부터 유지보수를 맡아, 2008~2018년 변경 5,409건 중5,408건을 작성함- 2026년 후원 요청이 보도된 뒤 Open Collective 연간 예산이 약
  6만 1,700달러에 도달함

• 2026년 후원 요청이 보도된 뒤 Open Collective 연간 예산이 약
  libjpeg-turbo의 DRC는 프로젝트를 혼자 소규모 사업으로 운영하며, 후원과 유료 개발로 비용을 충당함- 한때 일반 지원금으로 감당할 수 있는 작업량이
  월 8~10시간이라고 밝힘 - 2026년 변경의
  **98%**를 작성함

• 한때 일반 지원금으로 감당할 수 있는 작업량이

익숙한 소프트웨어 뒤의 작은 팀

SQLite는 별도 서버 없이 단일 파일에 데이터를 저장하며, 팀은 지원 서비스를 판매해 개발비를 충당함zlib의 Mark Adler는 NASA의 Spirit 화성 탐사선 프로젝트를 관리하는 일과 오픈소스 개발을 병행하기도 함bash의 Chet Ramey는 대학 네트워크 부서에서 일하면서 약 1990년부터 프로젝트를 관리함- 2014년 공개된
Shellshock취약점의 원인 코드는 신고되기25년 전에 들어간 것이었음

• 2014년 공개된
  curl에서는 다른 기여자들이 추가한 코드 줄 수의 합계가 창시자 Daniel Stenberg의 기여량을 넘어섬- 기업의 유료 지원 계약과 후원, 공공 기금이 개발을 뒷받침함

같은 보안 사고라도 지원의 결과는 달랐음

• 2014년
  Heartbleed가 발견됐을 당시 OpenSSL의 연간 기부금은 약2,000달러, 전업 개발자는 1명이었음 - 두 달 안에 Linux Foundation이 기술 기업들로부터
  540만 달러를 모았으며, OpenSSL에 유급 개발자 2명과 보안 감사를 지원함 - 정기 기여자는
  2013년 6명 → 2014년 14명 → 2026년 32명으로 늘어남 - 반면
  xz는 백도어 발견 이후 새로운 자금 유입을 확인하지 못했으며, 2026년 정기 기여자는 1명이었음

기금은 있지만 개인에게 닿는 경로가 부족함

• 독일
  Sovereign Tech Agency는 2022년 이후 약 90개 프로젝트를 지원했고,Alpha-Omega는 전년에 약 600만 달러를 지원함 - 두 기관 모두
  지원을 신청하고 결과를 보고할 수 있는 조직에 자금을 지급함- Alpha-Omega 지원금 상당 부분은 Python·Ruby 같은 재단의 보안 엔지니어에게 돌아감

• 시간대 데이터베이스·zlib·xz 등에서는 조사한 공개 지원 경로의 자금을 확인하지 못함

• 다른 지원 방식도 등장함

• Munich시는 2026년 8월부터 최대 6개월간
  expat 개발자의 작업 비용을 지급함 - 기업의 유료 지원 계약은 SQLite와 curl의 개발을 뒷받침함

• Munich시는 2026년 8월부터 최대 6개월간
  libxml2에서는 약 10년간 유지보수한 Nick Wellnhofer가 물러난 뒤 약 12시간 만에 새 유지보수자들이 명단에 추가됨- 이후 Daniel Garcia Moreno가 대부분의 작업을 수행하며, 광범위하게 쓰이는 프로젝트의 책임이 다시 소수에게 이어짐

조사 기준과 공개 자료

• 조사 기간은
  2025년 10월 7일~2026년 10월 7일이며, 병합과 봇을 제외하고 변경을 10건 이상 작성한 사람을 정기 기여자로 집계함- 변경 작성자 수가 실제 유지보수자 수와 같지는 않으며, 일부 프로젝트는 다른 개발 시스템의 이력을 복제해 공개함

• 기기 수는
  기본 탑재를 확인한 플랫폼만 집계한 하한값으로, Mac·iPad·서버·자동차·TV 등은 제외함 ‘공개 지원금 없음’은 조사한 경로에서 찾지 못했다는 뜻이며, 해당 개발자가 어떤 대가도 받지 않았다는 뜻은 아님- 23개 프로젝트 데이터, 전체 변경 이력, 분석 스크립트를 공개함