오픈소스로 들어오는 PR 4건 중 1건은 AI가 만든 저품질 코드

리눅스 재단이 오픈소스 프로젝트 운영자들을 대상으로 진행한 설문에서 생성형 AI가 개발 속도를 끌어올리는 동시에 리뷰 부담을 키우고 있다는 결과가 나왔다. 응답자들은 자신들이 받는 풀 리퀘스트(PR)의 상당 부분이 실제로 검토할 가치가 낮은 AI 생성물이라고 추정했다.

구체적인 숫자는 이렇다. 메인테이너들이 체감하는 저품질 AI 제출물, 이른바 'AI 슬롭'의 비중은 유입 PR의 약 25% 수준이다. 프로젝트 규모가 클수록 이 비율은 올라가 대형 프로젝트에서는 31%로 집계됐다. 반면 응답자의 71%는 생성형 AI가 오픈소스 기여의 진입 장벽을 낮췄다고 봤고, 53%는 이 기술이 커뮤니티의 신뢰를 높였다는 데 동의하지 않았다.

생산성 효과도 갈렸다. 평균적으로 AI를 쓰면 코드를 작성하는 시간이 52% 줄었다는 응답이 나왔지만, 복잡도가 높은 작업에서는 오히려 시간이 더 걸렸다는 답이 21% 있었다. 단순 반복 코드에서는 이득이 크지만 설계 판단이 필요한 영역에서는 자동 생성물을 검증하는 비용이 이득을 상쇄할 수 있다는 뜻이다.

문제는 프로젝트 차원의 규칙이 거의 없다는 점이다. 생성형 AI 사용을 공식적으로 허용하는 정책을 갖춘 프로젝트는 35%에 그쳤고, 정책도 없고 만들 계획도 없다는 곳이 32%였다. 나머지 프로젝트는 명확한 기준 없이 기여를 받고 있는 셈이다. 리눅스 재단의 연구 담당 수석 부사장 힐러리 카터는 프로젝트가 늘어나는 AI 기여자 기반을 전제로 운영 방식을 설계해야 하며, 테스트와 사용 사실 공개에 대한 책임을 기여자에게 지우고 메인테이너에게는 유입 PR을 처리할 도구를 줘야 한다고 강조했다.

코드 PR만의 문제도 아니다. curl 프로젝트는 이번 주 저위험·중위험 보안 결함을 공개적으로 다루는 방식으로 전환한다고 알렸다. AI의 도움을 받은 신고가 몰리면서 보안 대응 인력이 감당하기 어려운 수준에 이르렀기 때문이다. 메인테이너 다니엘 스텐버그는 핵심 인력 모두가 과부하 상태라 프로젝트 운영 자체가 한계에 몰렸다고 전했다.

배경에는 지난 1년간 오픈소스 생태계가 겪은 변화가 있다. AI가 만들어낸 기여물, 쓸모 있는 취약점 발견과 함께 오탐과 중복 신고가 뒤섞여 들어오면서 리뷰 파이프라인이 병목이 됐다. 리누스 토르발스처럼 AI 도구 자체에는 우호적으로 돌아선 인물도 저품질 제출물에 대해서는 비판적인 태도를 유지하고 있다.

실무적으로 달라지는 지점은 두 가지다. 기여자 입장에서는 AI로 만든 코드를 올릴 때 테스트 결과와 생성 도구 사용 여부를 스스로 밝히는 절차가 요구될 가능성이 커진다. 프로젝트 운영자 입장에서는 리뷰 시간을 '코드 품질 검증'에서 'AI 생성물 필터링'으로 재배분해야 하고, 그 비용을 정책과 자동화 도구로 흡수하지 못하면 유지보수 인력이 먼저 지친다.

다만 이번 수치는 메인테이너들의 자기 보고에 기반한 추정치라는 한계가 있다. 어떤 PR이 AI로 작성됐는지 정확히 판별하기 어렵고, '저품질'의 기준도 프로젝트마다 다르다. 52%라는 시간 단축 역시 응답자가 체감한 값을 평균 낸 것으로, 실제 측정된 개발 생산성과는 차이가 있을 수 있다.