오픈소스 소프트웨어의 지속 가능성 문제는 오래된 화두다. 전 세계 수많은 시스템이 소수의 무급 자원봉사자가 밤과 주말을 쪼개어 관리하는 라이브러리 위에 얹혀 있다는 사실이 매번 대형 취약점이 터질 때마다 재확인된다. 이번에 XML 파서 libexpat의 메인테이너가 밝힌 소식은 이 구조적 문제에 대한 하나의 실험적 답안이라는 점에서 눈여겨볼 만하다. 2026년 8월 1일부터 그는 독일 뮌헨시의 '오픈소스 안식년(Open Source Sabbatical)' 프로그램을 통해 최대 6개월간 libexpat 유지보수 업무에 대해 급여를 받게 됐다.
libexpat은 C99로 작성된 빠른 스트리밍 XML 파서로, MIT 라이선스 아래 배포되며 여러 플랫폼에서 동작한다. libxml2와 함께 C로 작성된 자유 소프트웨어 XML 파서 가운데 가장 널리 쓰이는 축에 든다. 스트리밍 방식이라는 특성상 메모리에 문서 전체를 올리지 않고 순차적으로 파싱하기 때문에, 임베디드 환경부터 대형 서버 애플리케이션까지 광범위하게 채택돼 있다. 실무자 입장에서 중요한 점은, 자신이 직접 libexpat을 호출하지 않더라도 의존성 트리 어딘가에 이 라이브러리가 들어 있을 가능성이 매우 높다는 사실이다.
무엇이 달라지는가
메인테이너는 지난 10년의 상당 기간 동안 libexpat 작업이 본업인 소프트웨어 엔지니어 일과, 집안일, 사회생활, 그리고 휴식과 경쟁 관계에 있었다고 털어놓는다. 이번 계약으로 처음으로, 한정된 기간이나마 libexpat 유지보수가 '본업'이 된다. 그는 이 기간의 최우선 과제로 두 가지를 꼽았다. 첫째는 현재 알려져 있으나 아직 수정되지 않은 5건의 취약점을 처리하는 것이고, 둘째는 프로젝트의 견고성과 유지보수성을 한층 끌어올리는 것이다. 실제로 소식을 전하기 직전 이틀 동안 그는 모질라가 발견한 취약점 하나를 수정하는 데 대부분의 시간을 썼다고 밝혔다.
계약 형태도 구체적이다. 그는 뮌헨시의 디지털 조직인 digital@M에 최대 6개월간 정식 근로계약으로 고용되며, 양측 어느 쪽이든 계약을 해지할 수 있고, 재택으로 원격 근무한다. 다시 말해 일회성 후원금이나 크라우드펀딩이 아니라, 지방정부가 고용주로서 오픈소스 유지보수자를 정식 직원으로 채용하는 형태다. 여기서 '안식년'이라는 이름은 통상적 의미와는 결이 다르다. 쉬는 것이 아니라, 본업의 압박에서 벗어나 오픈소스에만 집중하도록 유급 기간을 보장한다는 뜻에 가깝다.
취약점 제보는 지금이 적기
메인테이너는 libexpat에서 추가 취약점을 찾아 제보하고 싶은 이들에게, 앞으로의 몇 달이 문제를 합리적인 시간 안에 고칠 최고의 기회라고 밝혔다. 평소에는 유지보수자의 가용 시간이 병목이라 제보가 쌓여 처리가 지연되기 마련인데, 전담 기간에는 그 순환이 빨라질 수 있다는 취지다. 다만 그는 대기 행렬 이론과 물리 법칙은 여전히 적용된다고 덧붙여, 무한정 빠른 처리를 기대하지는 말라는 현실적 단서를 달았다. 동시에 검증되지 않은 이른바 'AI 찌꺼기(AI slop)' 제보는 반기지 않는다고 명확히 선을 그었다. 자동 생성 도구로 뽑아낸 근거 없는 취약점 보고가 오히려 유지보수자의 시간을 갉아먹는다는 최근 오픈소스 생태계의 문제의식을 반영한 대목이다.
한국 IT 실무자에게 이 소식이 갖는 의미는 두 갈래다. 하나는 공급망 관점의 실질적 함의다. libexpat처럼 깊숙이 박혀 있는 저수준 라이브러리가 한동안 집중 관리를 받는다는 것은, 향후 몇 달간 보안 패치가 더 빠르고 촘촘하게 나올 수 있다는 신호다. 이 기간에 공개되는 CVE와 릴리스 노트를 평소보다 주의 깊게 추적하고 의존성 갱신 주기를 짧게 가져갈 필요가 있다. 다른 하나는 조달·정책 관점이다. 지방정부가 직접 유지보수자를 고용해 핵심 오픈소스를 떠받치는 이 모델은, 공공기관이 오픈소스에 의존하면서도 그 유지에는 기여하지 않던 관행에 대한 하나의 대안으로 참고할 만하다.
다만 한계도 분명하다. 지원 기간이 최대 6개월로 못 박혀 있고 양측 해지가 가능하다는 점에서, 이는 구조적 재정 지원이 아니라 한시적 실험에 가깝다. 5건의 미해결 취약점 처리와 유지보수성 개선이라는 목표가 이 기간 안에 어디까지 달성될지, 그리고 기간 종료 후 프로젝트가 다시 이전의 '시간 부족' 상태로 돌아갈지는 아직 알 수 없다. 한 도시의 선의에 기댄 단발성 지원이 반복 가능한 제도로 정착할 때 비로소 오픈소스 지속 가능성 논의는 다음 단계로 넘어갈 것이다. 이번 사례는 그 가능성을 보여준 출발점으로 기록될 만하다.