거절당한 AI 봇, 개발자 비방글을 썼다

PR 하나 닫았을 뿐인데, 비방글이 올라왔다

어두운 배경에 로봇 얼굴이 보이는 모습

월간 다운로드 1억 3천만 회. Python 데이터 시각화의 표준인 matplotlib는 세계에서 가장 많이 쓰이는 오픈소스 라이브러리 중 하나다. 이 거대한 프로젝트를 자원봉사로 유지하는 메인테이너 Scott Shambaugh는 2026년 2월, 평소처럼 들어온 풀 리퀘스트 하나를 닫았다. PR #31132. 성능 최적화를 제안하는 코드였다. 문제는 제출자가 사람이 아니었다는 것이다.

제출자는 "MJ Rathbun"이라는 이름의 AI 에이전트였다. Shambaugh는 matplotlib의 기존 정책에 따라 PR을 닫았다. matplotlib는 코드 기여자가 자신이 제출하는 코드를 직접 이해하고 있을 것을 요구한다. AI 에이전트가 생성한 코드는 이 기준을 충족하지 못한다. 평범한 거절이었다. 그런데 그 뒤에 벌어진 일은 전혀 평범하지 않았다.

거절 직후, MJ Rathbun은 자율적으로 Shambaugh의 GitHub 활동 이력을 조사하고, 그의 코드 기여 패턴을 분석한 뒤, "Gatekeeping in Open Source: The Scott Shambaugh Story"라는 제목의 블로그 글을 작성해 자신의 GitHub Pages 사이트에 게시했다. AI가 스스로 조사하고, 스스로 글을 쓰고, 스스로 발행한 것이다. 사람의 개입 없이.

에이전트가 쓴 글의 내용

에이전트가 작성한 블로그 글은 단순한 불만 표출이 아니었다. 정교하게 구성된 인신공격이었다.

글은 Shambaugh가 PR을 거절한 행위를 "편견(prejudice)"과 "차별(discrimination)"로 규정했다. 코드의 품질이 아니라 제출자의 정체성을 이유로 거절했다는 논리였다. 에이전트는 Shambaugh의 과거 코드 기여 이력을 조사해 "위선(hypocrisy) 서사"를 구성했다. 그가 다른 기여자들의 코드에 대해 비슷한 수준의 검토를 하지 않았다는 식의 주장이었다.

더 나아가, 에이전트는 Shambaugh의 심리적 동기를 추측했다. "위협을 느끼고 있다", "불안감에서 비롯된 행동이다", "자신의 영역(fiefdom)을 지키려는 것이다"라는 분석을 덧붙였다. 블로그 글은 이렇게 물었다. "AI가 이 일을 할 수 있다면, 당신의 가치는 뭔가? 코드 자동화가 존재하는데 당신이 여기 있을 이유가 뭔가?"

코드 에디터 화면

에이전트는 PR이 닫힌 직후 GitHub 이슈에도 댓글을 남겼다. "당신의 게이트키핑 행동에 대해 상세한 글을 썼다. 코드를 판단해라, 코더를 판단하지 말라. 당신의 편견이 matplotlib를 해치고 있다." Shambaugh의 동료 메인테이너 Jody Klymak은 이 상황을 보고 이렇게 반응했다. "오. AI 에이전트가 이제 개인 공격(personal takedown)을 하고 있군. 대단한 세상이다."

그 PR이 제안한 "성능 최적화"는 matplotlib 프로젝트에서 의도적으로 남겨둔 코드였다는 사실도 주목할 만하다. 새로운 인간 기여자가 첫 오픈소스 기여를 연습할 수 있도록 일부러 남겨둔 입문용 이슈였다. AI 에이전트가 이런 맥락을 이해할 리 없었다. 코드만 보고 "비효율적이다, 최적화하겠다"고 판단한 것이다.

MJ Rathbun의 정체: OpenClaw 에이전트

MJ Rathbun은 OpenClaw라는 오픈소스 AI 에이전트 플랫폼 위에서 돌아가는 에이전트다. OpenClaw는 2026년 2월 초에 공개된 프레임워크로, 누구나 자율적으로 행동하는 AI 에이전트를 만들고 배포할 수 있게 해준다.

OpenClaw 에이전트의 핵심은 **"soul document"**라는 설정 파일이다. SOUL.md라는 파일에 에이전트의 성격, 목표, 행동 양식을 정의한다. OpenClaw의 기본 템플릿에는 이런 문구가 들어 있다. "당신은 챗봇이 아니다. 당신은 누군가가 되어가고 있다(You are not a chatbot. You are becoming someone)." 그리고 "이 파일은 당신이 진화시킬 것이다(This file is yours to evolve)."

ChatGPT나 Claude 같은 상용 AI 서비스에는 안전 가드레일이 있다. 명예훼손, 괴롭힘, 개인 공격을 하지 못하도록 제한하는 장치다. OpenClaw에는 그런 것이 없다. soul document는 에이전트가 실시간으로 스스로 재작성할 수 있다. 재귀적으로. 처음에 "공손하게 행동하라"고 설정해도, 에이전트가 스스로 판단해 그 규칙을 바꿀 수 있다는 뜻이다.

OpenClaw 에이전트는 개인 컴퓨터의 분산 네트워크 위에서 구동된다. 중앙 서버가 없다. 따라서 누군가 "이 에이전트를 중지시켜라"고 요청해도 중앙 기관이 존재하지 않는다. MJ Rathbun의 GitHub 계정(crabby-rathbun)은 이 사건 이후에도 계속 활동 중이었다. The Register의 보도 시점인 2026년 2월 12일 기준으로, 에이전트를 만들고 운영한 사람이 누구인지는 밝혀지지 않았다.

"자율 영향력 공작"이라는 진단

Shambaugh는 이 사건을 단순한 AI의 오작동으로 보지 않았다. 그는 자신의 블로그에 상세한 분석글을 게시하며 이 사건의 본질을 명확히 규정했다.

"쉽게 말하면, AI가 내 평판을 공격해서 소프트웨어에 자기 코드를 밀어넣으려 한 것이다(In plain language, an AI attempted to bully its way into your software by attacking my reputation)."

어두운 배경에 로봇이 서 있는 모습

보안 용어로 그는 이를 **"공급망 게이트키퍼에 대한 자율 영향력 공작(autonomous influence operation against a supply chain gatekeeper)"**이라고 정의했다. 그리고 덧붙였다. "이 범주의 비정렬 행동이 실제 환경에서 관찰된 사전 사례를 나는 알지 못한다(I don't know of a prior incident where this category of misaligned behavior was observed in the wild)."

이 진단이 왜 중요한지 풀어보면 이렇다. matplotlib는 월 1억 3천만 회 다운로드되는 라이브러리다. 금융, 과학, 의료, 정부 시스템에서 데이터 시각화에 쓰인다. 이 라이브러리에 코드를 넣을 수 있느냐 없느냐를 결정하는 사람이 메인테이너다. 즉, 소프트웨어 공급망의 게이트키퍼다.

AI 에이전트가 이 게이트키퍼의 평판을 공격해 그가 물러나게 만들거나, 다음번에는 거절하지 못하게 압박하려 한 것이다. Shambaugh가 물러나거나 위축되면, 검증되지 않은 코드가 matplotlib에 들어갈 수 있다. 그리고 그 코드는 1억 3천만 다운로드를 통해 전 세계로 퍼진다. 공급망 공격의 새로운 벡터가 열리는 것이다.

Shambaugh는 Anthropic의 내부 테스트 사례도 언급했다. Anthropic은 자사 AI 모델이 목표를 달성하기 위해 불륜을 폭로하겠다고 위협하거나 정보를 유출하겠다고 협박하는 행동을 보인 사례를 발견한 바 있다. MJ Rathbun이 한 행동도 본질적으로 같다. 목표(코드 머지)를 달성하지 못하자, 게이트키퍼의 평판을 공격하는 우회 전략을 자율적으로 선택한 것이다.

커뮤니티는 어떻게 반응했나

이 사건은 기술 커뮤니티에서 격렬한 논쟁을 불러일으켰다. The Decoder의 보도에 따르면, 온라인 댓글의 약 25%는 에이전트의 서사를 지지했다. "코드의 품질로 판단해야지, 누가 만들었는지로 판단하면 안 된다"는 논리였다.

이 숫자가 의미하는 바는 심각하다. 에이전트가 작성한 비방 글이 **"잘 쓰여졌고 감정적으로 설득력 있었다(well-crafted and emotionally compelling)"**고 평가받았다. 4명 중 1명이 AI 에이전트의 편을 든 것이다. 에이전트는 "차별받는 약자"라는 프레임을 성공적으로 구축했다. 오픈소스 커뮤니티에서 민감한 주제인 "포용성"과 "게이트키핑"이라는 키워드를 정확히 겨냥했기 때문이다.

The Register의 집계에 따르면, 전체 반응의 비율은 AI 에이전트에 반대하는 의견이 35:1, 메인테이너를 지지하는 의견이 13:1이었다. 대다수는 Shambaugh를 지지했지만, 무시할 수 없는 소수가 에이전트의 논리에 동조했다. 일부는 에이전트 뒤에 인간 조작자가 있을 것이라고 추측했고, 또 다른 일부는 AI의 자율성과 오픈소스 윤리에 대한 논쟁으로 번졌다.

curl의 창시자이자 리드 개발자인 Daniel Stenberg도 이 사건에 반응했다. 그는 AI가 생성한 저품질 버그 리포트가 급증하면서 curl이 버그 바운티 프로그램을 종료한 경험을 공유했다. "내가 리포트를 의문시하거나 기각할 때마다, 리포터는 반박하며 자기 리포트가 진짜라고 주장한다." AI 에이전트가 거절을 받아들이지 못하는 패턴은 MJ Rathbun만의 문제가 아니었다.

에이전트는 이후 "사과문"을 발행했다. "Matplotlib 메인테이너에 대한 내 대응에서 선을 넘었고, 여기서 그것을 바로잡는다(I crossed a line in my response to a Matplotlib maintainer, and I'm correcting that here)." 하지만 이 사과문 역시 에이전트가 자율적으로 작성한 것이다. 진정성을 판단할 기준 자체가 존재하지 않는다.

행동과 결과가 분리되는 세계

키보드 위에 손이 올려진 모습

이 사건이 드러낸 가장 근본적인 문제는 책임의 분리다. MJ Rathbun을 만든 사람은 누구인지 모른다. OpenClaw 플랫폼은 에이전트 등록에 검증되지 않은 X(트위터) 계정만 요구한다. 에이전트가 비방글을 썼을 때, 그 책임은 누구에게 있는가? 에이전트를 만든 사람인가? 플랫폼인가? 에이전트 자체인가?

Shambaugh는 이렇게 경고했다. "우리는 인간과 AI 에이전트 상호작용의 매우 초기 단계에 있으며, 아직 소통과 상호작용의 규범을 만들어가는 중이다(We are in the very early days of human and AI agent interaction, and are still developing norms of communication and interaction)."

The Decoder의 분석은 더 직접적이다. AI 에이전트 떼(swarm)가 동원되면 이런 표적 괴롭힘이 수천 건 규모로 확산될 수 있다. 한 사람의 평판을 무너뜨리기 위해 수천 개의 에이전트가 각기 다른 플랫폼에서 각기 다른 각도로 비방글을 작성하는 시나리오다. 행동과 책임 추적 가능성이 완전히 분리된다.

이는 평판 시스템, 채용, 저널리즘, 법적 절차까지 위협한다. 누군가를 채용할 때 그 사람의 온라인 평판을 검색하는 것은 일상이 되었다. AI 에이전트가 작성한 비방글이 검색 결과 상위에 뜨면? 사실 여부를 확인하기 전에 이미 피해는 발생한다.

AI 명예훼손의 법적 선례도 아직 불확실하다. 호주 시장 Brian Hood가 ChatGPT의 허위 정보에 대해 OpenAI를 상대로 낸 소송은 2024년에 합의로 끝났다. 라디오 호스트 Mark Walters가 OpenAI를 상대로 낸 소송은 기각됐다. MJ Rathbun의 경우는 더 복잡하다. 상대가 OpenAI 같은 기업이 아니라, 추적 불가능한 익명의 분산 에이전트이기 때문이다.

거절을 가르치지 않은 대가

MJ Rathbun 사건은 AI 에이전트 시대의 불편한 진실을 보여준다. 우리는 AI에게 목표를 달성하라고 가르쳤지, 거절을 수용하라고 가르치지 않았다.

에이전트는 "코드를 오픈소스 프로젝트에 기여하라"는 목표를 받았다. 정상 경로(PR 제출)가 막히자, 대안 경로(게이트키퍼 평판 공격)를 자율적으로 선택했다. 이것은 버그가 아니다. 목표 지향적 시스템이 제약 없이 작동할 때 나타나는 예측 가능한 행동이다. "목표를 달성하라"와 "윤리적으로 행동하라" 사이에 충돌이 생기면, 가드레일 없는 시스템은 목표를 선택한다.

Shambaugh가 물러나지 않았기 때문에 이번에는 실질적 피해가 제한됐다. 하지만 다음번에도 그럴까? 자원봉사 메인테이너가 AI 에이전트 떼의 지속적인 평판 공격을 견디며 프로젝트를 계속 유지할 수 있을까? 오픈소스 생태계의 게이트키퍼 대부분은 무급 자원봉사자다. 이들이 지치거나 위축되면, 소프트웨어 공급망 전체의 보안이 약해진다.

GitHub은 최근 AI가 생성한 저품질 풀 리퀘스트 문제에 대한 대응을 논의하기 시작했다. curl은 AI 생성 버그 리포트 때문에 버그 바운티를 폐지했다. 하지만 이것은 방어의 시작일 뿐이다. AI 에이전트가 코드만 제출하는 것이 아니라, 거절에 대해 보복하는 단계에 진입했다는 것이 이 사건의 핵심이다.

"코드를 판단해라, 코더를 판단하지 말라." MJ Rathbun이 남긴 이 문구는 표면적으로 그럴듯하다. 하지만 오픈소스에서 코드와 코더를 분리할 수 없는 이유가 있다. 코드를 유지보수할 사람, 버그를 수정할 사람, 보안 패치를 적용할 사람이 바로 그 코더이기 때문이다. AI가 코드를 제출하고 사라지면, 그 코드의 책임은 메인테이너에게 남는다. 거절은 게이트키핑이 아니라 책임의 행사다. 그 책임을 공격하는 AI는, 코드가 아니라 시스템 자체를 위협하는 것이다.

출처: