보안 실무자라면 한 번쯤 이름을 들어봤을 메일링 리스트 '버그트랙(Bugtraq)'이 다시 돌아온다. 1993년 스콧 채신(Scott Chasin)이 만든 이 리스트는 '완전 공개(full disclosure)'를 원칙으로 삼았다. 취약점을 발견한 연구자가 중간 관문이나 정치적 계산 없이 곧바로 세상에 공개할 수 있는 열린 공간을 지향한 것이다. 10년 넘게 버그트랙은 취약점 연구의 중심축 역할을 했고, 보안 업계에서 의미 있는 사건이라면 대개 이곳에 가장 먼저 올라왔다. 그러던 리스트가 어느 순간 조용해졌다. 도메인이 인수·합병의 사슬을 거치며 손을 바꾸는 사이 버그트랙은 더 이상 버그트랙이 아니게 됐고, 아카이브는 접근이 끊겼으며 리스트는 침묵했다. 그 사이 한 세대의 연구자들은 버그트랙을 경험하지 못한 채 성장했다.
이번 부활은 securityfocus.com 도메인과 '버그트랙'이라는 이름 자체를 새 운영자가 확보하면서 이뤄졌다. 운영자는 이를 두고 '박물관을 짓기 위한 것이 아니라 대화를 다시 시작하기 위한 것'이라고 밝혔다. 리스트 주소도 예전 그대로 bugtraq@securityfocus.com을 유지한다. 취약점을 발견하면 이곳에 공개하고, 2026년 시점에서 공개 방식이 어떠해야 하는지에 대한 의견도 이곳에서 나누자는 것이 재출범의 취지다. 과거 아카이브는 원래부터 공개된 메일링 리스트 트래픽을 커뮤니티가 보관해 둔 사본을 바탕으로 보존해 별도로 접근할 수 있게 할 계획이라고 한다.
완전 공개라는 오래된 논쟁
버그트랙의 정체성을 이해하려면 '완전 공개'라는 철학의 맥락을 짚어야 한다. 취약점을 발견했을 때 이를 벤더에게만 비공개로 알리고 패치가 나온 뒤 공개할지, 아니면 세부 정보를 즉시 공개해 사용자 스스로 위험을 판단하고 압박을 통해 수정을 앞당길지는 보안 업계의 해묵은 쟁점이다. 버그트랙은 후자, 즉 정보를 감추는 것보다 공유하는 편이 결과적으로 방어자에게 유리하다는 입장에 서 있었다. 벤더가 조용히 문제를 덮거나 대응을 미루는 것을 막고, 연구자와 관리자가 동일한 정보를 손에 쥐게 한다는 논리다.
다만 그 시절과 지금은 환경이 크게 달라졌다. 오늘날에는 CVE 번호 체계, 벤더 버그 바운티, 책임 있는 공개(coordinated disclosure) 절차, HackerOne이나 Bugcrowd 같은 플랫폼이 자리 잡았다. 취약점 정보의 유통 경로가 훨씬 제도화되고 상업화된 것이다. 이런 지형에서 '기업 필터 없는 연구자 중심'이라는 옛 원칙이 어떤 형태로 다시 작동할 수 있을지는 재출범을 지켜봐야 할 대목이다. 운영자 스스로도 공개 방식에 대한 토론을 열어두겠다고 한 만큼, 부활한 버그트랙이 과거의 형식을 그대로 복원할지 아니면 현재 관행과 접점을 찾을지는 아직 정해지지 않았다.
사라지는 보안의 역사
이번 재출범이 던지는 또 다른 문제의식은 보안 지식의 소실이다. 운영자는 30여 년의 사이버보안 역사가 흩어져 사라지고 있다고 지적했다. 이 분야를 형성한 익스플로잇과 기법, 심층 분석 자료들이 끊어진 링크와 문 닫은 포럼, 아무도 관리하지 않는 서버에 흩어진 채 소멸하고 있다는 것이다. 실제로 초창기 연구 자료 상당수는 상용 데이터베이스가 아니라 메일링 리스트 아카이브와 개인 사이트에 남아 있었고, 이런 비공식 저장소가 사라질 때마다 검증 가능한 원본 기록도 함께 없어진다. 버그트랙 아카이브 복원은 리스트 재가동만큼이나 이 역사 보존이라는 목적에 무게를 둔 것으로 보인다.
한국의 보안 실무자 입장에서 당장 실무 프로세스가 바뀌는 사건은 아니다. 이미 대부분의 조직은 CVE 피드와 벤더 권고, 위협 인텔리전스 서비스를 통해 취약점 정보를 받고 있기 때문이다. 그러나 원본 익스플로잇 코드와 기법에 대한 1차 자료, 그리고 공개 정책을 둘러싼 커뮤니티의 논의를 한자리에서 확인할 수 있는 통로가 다시 열린다는 점은 주목할 만하다. 특히 과거 버그트랙 아카이브가 공개적으로 접근 가능해진다면, 오래된 취약점 사례를 학습하거나 특정 기법의 계보를 추적하려는 연구자에게 유용한 참고 자원이 될 수 있다.
결국 관전 포인트는 단순한 이름의 귀환이 아니라, 완전 공개라는 원칙이 제도화된 오늘의 보안 생태계에서 실제 참여와 신뢰를 얼마나 확보하느냐다. 운영 주체의 지속성, 스팸과 악용을 걸러낼 관리 역량, 그리고 커뮤니티가 다시 모여들지 여부가 부활의 성패를 가를 것이다. 이름과 도메인은 되찾았지만, 버그트랙을 버그트랙답게 만들던 것은 결국 그곳에 글을 쓰던 연구자들이었기 때문이다.