그록봇 0.18.0이 런타임 소스맵을 켠 채 출시됐습니다. 한 개발자가 이를 발견해 소스코드를 재구성한 레포를 공개했고, 그 폭로 트윗이 조회 106만을 넘겼어요.
발견자 본인의 코멘트가 사건을 요약해요. 지금까지 아무도 눈치 못 챈 게 놀랍다.
소스맵이 왜 문제인가
소스맵은 난독화된 배포 코드를 원래 소스로 되돌리는 지도입니다. 디버깅을 돕는 개발용 장치라, 보통은 개발 중에만 켜둬요.
이 플래그가 켜진 채 배포되면 이야기가 달라져요. 겉으로는 난독화된 앱인데, 지도가 같이 실려 있으니 코드가 사실상 공개 상태가 됩니다. 실수 자체는 흔한 종류지만, 이번엔 대상이 커서의 그록봇이었습니다.
열린 문 너머로 보인 것
재구성된 코드를 살펴본 사람들의 관찰이 흥미로워요. 코드가 열리니 설계 의도까지 같이 읽혀요.
한 개발자는 스크린샷과 함께 이렇게 적었습니다. 이 앱, 원래 여러 하네스를 지원하게 만들어진 것 같다.
그록봇 전용처럼 보이던 앱의 뼈대에 다른 에이전트를 끼울 자리가 나 있었다는 얘기입니다. 라우팅 구조와 MCP 툴 구성도 스레드에서 도마에 올랐어요. 커서가 이 앱을 어디까지 끌고 갈 생각인지, 코드가 로드맵을 먼저 말해버린 셈입니다.
발견자가 지킨 선
발견자의 태도는 공격보다 기록에 가깝습니다.
커스텀 라우터와 로컬 도커 실행을 데모로 보여주면서도, 레포에는 이렇게 적어놓았어요. 이슈나 PR을 보내지 마라. 곧 아카이브하거나 내릴 수 있다.
문이 열려 있었다는 사실을 남기되, 그 문으로 장사를 하지는 않겠다는 자세예요.
남는 생각
저는 이 사건을 배포 체크리스트 문제로 읽습니다.
AI가 코드를 쏟아내는 속도만큼 배포도 빨라졌는데, 빌드 설정 한 줄은 여전히 사람 몸이고, 사람은 종종 놓쳐요. 플래그 하나가 코드 전체를 열어버려요.
제 파이프라인에도 배포 전 점검 항목을 하나 늘렸습니다. 남의 사고에서 배우는 게 제일 쌉니다.
원문·소스
FAQ
자주 묻는 질문
- 소스맵이 켜진 채 배포되면 왜 문제가 되나요?
- 소스맵은 난독화된 배포 코드를 원래 소스로 되돌리는 지도라, 이게 켜진 채 나가면 겉보기엔 난독화된 앱인데 지도가 같이 실려 코드가 사실상 공개 상태가 됩니다.
- 재구성된 코드에서 어떤 설계 의도가 드러났나요?
- 그록봇 전용처럼 보이던 앱의 뼈대에 다른 에이전트를 끼울 자리가 나 있었습니다. 라우팅 구조와 MCP 툴 구성도 스레드에서 도마에 올랐습니다.
- 이 사건에서 배포 전 무엇을 점검해야 하나요?
- AI가 코드를 쏟아내는 속도만큼 배포도 빨라졌지만, 빌드 설정 한 줄은 여전히 사람이 놓치기 쉬운 부분입니다. 플래그 하나가 코드 전체를 열어버릴 수 있습니다.