2024년 12월, Log4Shell 하나가 전 세계 기업들에 110억 달러의 손실을 남겼다. 공짜 라이브러리 하나가 기업의 기밀을 통째로 털어간 사건. 오픈소스는 무료가 아니다. 계산서가 늦게 도착할 뿐이다.
유지보수: 소프트웨어는 공짜지만 인건비는 공짜가 아니다
OSI 2026 보고서는 5,000명 이상 대기업의 60%가 개발자 시간 절반 이상을 신규 기능이 아닌 유지보수와 버그 수정에 쓴다고 밝혔다. 새 코드를 짜는 게 아니라 이미 돌아가는 코드가 죽지 않게 지키는 데 인력이 묶여 있다.
Shopify의 자체 분석이 이걸 숫자로 증명했다. 관리형 플랫폼으로 전환한 기업은 자체 운영 대비 TCO가 평균 33% 낮았다. "SaaS $50K를 아꼈더니 유지보수 전담 데브옵스 엔지니어 연봉 $180K가 새로 필요해졌다"는 냉소가 괜히 나온 게 아니다.
OSSRA 2026 데이터는 더 냉혹하다. 실제 코드베이스의 92%가 4년 이상 구버전 컴포넌트를 포함하고 있고, 93%는 최근 2년간 개발 활동이 전혀 없는 의존성을 끌어안고 있다. 살아있는 코드를 유지하는 게 아니라 시한폭탄을 안고 출근하는 셈이다. 핵심 의존성 하나가 방치되면 개발팀 전체가 며칠씩 대체제를 찾거나 직접 패치를 만들어야 한다. 그 시간에 만들 수 있었을 기능들은 영원히 만들어지지 않는다.
규제: 법무팀이 개발 회의에 들어온 이유
EU는 2025년 사이버 복원력법(CRA)을 발효시켰다. 소프트웨어 제조사에 24시간 이내 취약점 보고를 의무화하고, 제품 출시 후 최소 5년 동안 지속적 취약점 관리를 법으로 강제한다. 위반 시 글로벌 매출의 일정 비율이 과징금으로 나간다. 금융권 DORA까지 겹치면서 2026년 현재 오픈소스 거버넌스는 선택이 아니라 생존 문제가 됐다.
현장은 이 속도를 못 따라간다. Black Duck OSSRA가 조사한 바에 따르면 규제 감사를 실패한 조직의 55%가 지원 종료된 오픈소스를 여전히 스택에 보유 중이었다. 더 심각한 건 AI가 생성한 코드다. Copilot, Cursor 같은 도구가 뱉어내는 코드의 68%가 라이선스 충돌을 일으킬 가능성이 있다. AGPL이 섞인 코드 한 줄이 제품 출시를 3개월 늦추거나 코드베이스 전체를 재작성하게 만든다. 무료니까 갖다 썼다가 법무 검토 단계에서 터지는 폭탄이다.
포크: $258,000짜리 임시방편
의존성 컴포넌트가 지원 종료되면 많은 팀이 "그냥 포크해서 우리가 고치자"는 결정을 내린다. Linux Foundation 2026 보고서가 이 선택의 실제 비용을 산정했다. 프라이빗 포크 하나를 유지보수하는 데 릴리스 사이클당 평균 $258,000의 인건비가 든다.
시간이 갈수록 상황은 더 나빠진다. 업스트림과 멀어질수록 재동기화 비용은 기하급수적으로 늘어난다. 포크를 만들었던 엔지니어가 이직하면 그 코드는 아무도 건드리지 못하는 레거시가 된다. 신규 인력이 파악하는 데 걸리는 시간과 비용이 다시 쌓인다.
버스 팩터 1 프로젝트는 이 문제의 극단이다. 핵심 기여자 한 명이 번아웃으로 저장소를 떠나거나, 권한이 익명에게 팔리는 사례가 매년 반복된다. 그 의존성을 쓰는 모든 제품이 하루아침에 리스크에 노출된다. 단일 실패지점을 가진 인프라 의존성은 기술 부채를 넘어 사업 연속성의 위협이다.
무료의 가격을 계산하는 법
오픈소스는 선택이 아니라 현대 소프트웨어의 기본 인프라다. 쓸 거냐 말 거냐가 아니라, 어떻게 관리할 거냐의 문제다. 방어선은 네 가지면 충분하다.
첫째, SBOM 자동 생성. 둘째, Syft+Grype로 정기적 취약점 스캔. 셋째, GitHub License Policy Gate로 라이선스 정책을 코드 리뷰 단계에서 강제. 넷째, 핵심 의존성의 유지보수자에게 직접 후원.
비용은 분명히 든다. 하지만 방치하는 비용은 이 4가지를 전부 실행하는 비용보다 크다. Log4Shell이 증명했고, AGPL이 증명했고, 버스 팩터 1 프로젝트들이 매년 증명하고 있다.