서론: 같은 날 터진 두 개의 글

2026년 4월 15일, Hacker News에 두 글이 나란히 올라왔다. Cal.com이 “AI 보안 위협” 때문에 오픈소스를 포기한다는 발표와, Strix가 “Open Source Isn’t Dead”라며 반박한 글. 오픈소스 커뮤니티가 얼마나 민감하게 반응했는지 보여주는 사건이다.

이 글은 양쪽을 모두 해부한다. Cal.com의 결정이 합리적인지, 오픈소스가 정말 위기인지, 그리고 2026년의 현실적 선택지는 무엇인지.

TL;DR
– Cal.com: AGPL → 완전 클로즈드 소스 전환, 이유는 “AI가 오픈소스 코드의 취약점을 자동 탐지”
– Strix 반박: 바이너리도 역공학 가능, security by obscurity는 이미 폐기된 논리
– 역사적 패턴: MongoDB→SSPL, HashiCorp→BSL, Redis→SSPL → 그런데 Elastic과 Redis는 다시 AGPL로 복귀
– 오픈소스 생태계는 실제로 성장 중: Hugging Face 사용자 2배, 재단 투자 $12.5M+
– 진짜 위기는 보안이 아니라 AI 시대의 비즈니스 모델

Cal.com: “AI 때문에 문을 닫는다”

무엇이 바뀌었나

Cal.com은 2021년부터 5년간 AGPL v3으로 운영된 일정 예약 서비스다. “오픈소스 Calendly”로 개발자 커뮤니티에서 성장했고, 연 300% 성장에 수익성도 달성했다. 그런데 2026년 4월 15일, 갑자기 완전 클로즈드 소스로 전환했다.

이전 사례들(MongoDB SSPL, HashiCorp BSL, Redis SSPL)이 “소스는 공개하되 사용 제한”이었던 반면, Cal.com은 완전 비공개로 간 첫 주요 사례다.

CEO의 논리

“오픈소스 코드는 은행 금고의 설계도를 나눠주는 것과 같다. 그리고 이제 설계도를 연구하는 해커가 100배 늘었다.” — Bailey Pumfleet, Cal.com CEO

직접적 계기로 언급한 것은 Anthropic의 Claude Mythos다. 4월 7일 공개 시연에서 OpenBSD의 27년 된 버그, FFmpeg의 16년 된 취약점을 AI가 자동 탐지하고 작동하는 익스플로잇까지 생성한 사건이 결정의 트리거였다.

Cal.com은 2026년 2월까지 프로덕션 코드베이스에서 500개 이상의 고심도 취약점이 보고됐다고 밝혔다. “우리는 스케줄링 회사이지 사이버보안 회사가 아니다”라는 것이 핵심 메시지였다.

Cal.diy — 모순의 증거?

Cal.com은 커뮤니티용으로 Cal.diy를 MIT 라이선스로 공개했다. 하지만 프로덕션 코드와는 “인증 및 데이터 처리 핵심 시스템이 대폭 재작성”된 별도 버전이다.

HN 토론에서 가장 날카로운 지적이 여기서 나왔다: “엔터프라이즈용으로는 너무 위험하다면서 왜 취미 개발자에게는 안전한가?” 이 분리 자체가 보안이 아닌 비즈니스 세그먼테이션이라는 방증이다.

Strix의 반박: “Open Source Isn’t Dead”

AI 보안 스타트업 Strix는 Cal.com 발표 직후 반박 글을 게재했다. 핵심은 네 가지다.

1. Security by Obscurity는 이미 폐기된 논리

코드를 숨겨도 AI는 컴파일된 바이너리를 역공학으로 분석할 수 있다. 다만 공정하게 말하면, 소스 코드는 변수명·주석·논리 구조를 직접 제공하므로 바이너리 분석보다 취약점 탐지 효율이 높다. 소스 비공개는 근본적 해결책은 아니지만, 공격자의 분석 시간을 늘리는 지연 전술로서의 가치는 있다. 문제는 그것만으로 방어 전략이 될 수 없다는 점이다.

2. AI는 방어자에게도 열려 있다

취약점을 찾는 AI는 공격자만 쓸 수 있는 게 아니다. 같은 도구로 자신의 코드를 선제적으로 스캔할 수 있다. 소스를 숨기는 대신 AI 방어 자동화를 구축하는 것이 올바른 대응이다.

3. 투명성이 패치 속도를 높인다

오픈소스의 “다중 안구(many eyes)” 효과는 AI 시대에도 유효하다. 커뮤니티 기반의 빠른 패치 대응이 클로즈드 소스의 내부 팀만의 대응보다 구조적으로 빠르다.

4. 진짜 해답은 지속적 AI 방어

소스 비공개는 일회성 조치다. AI 위협은 지속적이므로, 답은 지속적인 AI 기반 방어 체계 구축이다. 이전 글에서 다룬 “Proof of Work” 프레임과 정확히 일치한다.

역사가 보여주는 패턴

Cal.com이 처음이 아니다. 상업용 오픈소스의 라이선스 전환은 반복되는 패턴이다.

그런데 흥미로운 반전이 있다. Elasticsearch은 2024년 AGPL로 복귀했고, Redis도 2025년 5월 AGPLv3을 추가했다. 이것은 “오픈소스 정신의 회귀”가 아니다 — 포크 경쟁에 밀린 생존 전략이었다:

• AWS의 OpenSearch가 Elasticsearch 시장을 잠식, Valkey가 Redis 대기업 고객의 83%에 검토됨
• 주요 Linux 배포판 저장소에서 제거 → 배포 채널 상실
• OSI 승인 라이선스를 요구하는 엔터프라이즈 법무팀 차단 → 기업 채택 급감

결국 source-available이 제공한 보호 이익보다 상업적 손실이 더 컸다. Cal.com의 결정이 장기적으로 유지될지는, 이 선례가 이미 답을 보여준 셈이다.

오픈소스는 정말 위기인가?

숫자를 보면, 오픈소스 생태계는 오히려 성장 중이다.

투자와 펀딩

AI/ML 영역의 폭발적 성장

• Hugging Face: 사용자 1,300만, 공개 모델 200만+, 데이터셋 50만+ — 거의 전 지표 2배 성장
• Fortune 500의 30%+가 Hugging Face 인증 계정 운영
• DeepSeek R1 (2025.01): MIT 라이선스로 공개 → 중국 오픈소스 AI 전환점
• Qwen 시리즈 (Alibaba): HF 파생 모델 113,000개+, Meta Llama(27,000개)를 압도

포크의 힘

• OpenTofu: Terraform 포크, 40개+ 기업 컨소시엄, CNCF 편입
• Valkey: Redis 포크, 대기업 83%가 검토 또는 채택

역설적으로, 오픈소스를 포기한 기업들이 만들어낸 포크가 오픈소스의 회복력을 가장 잘 증명하고 있다.

진짜 위기: AI 시대의 비즈니스 모델

보안이 아니라, 오픈소스 비즈니스 모델이 진짜 위기다.

LLM이 오픈소스 코드를 학습하여 유사 기능을 즉시 생성하면서, “공개 소스 = 경쟁사의 무기”라는 인식이 확산되고 있다. Cal.com이 “보안”을 내세웠지만, HN 토론의 다수 의견은 진짜 동기가 경쟁 방어라고 본다.

라이선스 트렌드

RedMonk의 2026년 분석에 따르면:

• Permissive 라이선스 점유율: 82%(2022) → 73%(2025) — 약간의 후퇴
• BSL/SSPL 채택: 통계적으로 미미하나 전략적 중요성 있음
• 새로운 절충안: Functional Source License(FSL) — Sentry가 도입, 2년 후 OSI 라이선스로 자동 전환

FSL 같은 “시한부 독점” 모델이 OpenCore의 후계자로 주목받고 있지만, OSI는 이를 오픈소스로 인정하지 않는다.

재단 vs 기업: 거버넌스가 지속가능성을 결정한다

2026년의 교훈은 명확하다. 기업 주도 오픈소스는 기업 전략에 종속된다.

MongoDB, HashiCorp, Redis, Cal.com — 모두 기업 주도 프로젝트다. 반면 Linux, Kubernetes, PostgreSQL 같은 재단 기반 프로젝트는 라이선스 변경 논란이 없다. “누가 코드를 소유하는가”가 프로젝트의 장기 운명을 결정한다.

Linux Foundation이 연 $300M 규모의 기업 후원을 받으면서도 중립성을 유지하는 것은, 재단 모델이 작동한다는 가장 큰 증거다.

누가 주목해야 하나

• 셀프호스팅 운영자: Cal.com을 셀프호스팅 중이라면, 프라이빗 리포 접근 여부를 확인하라. 대안으로 Rallly, Easy!Appointments가 여전히 오픈소스다.
• 오픈소스 채택 의사결정자: 기업 주도 오픈소스를 도입할 때, 거버넌스 구조(재단 vs 단일 기업)를 라이선스만큼 중요하게 평가하라. Terraform→OpenTofu, Redis→Valkey 전환 비용을 기억하라.
• 오픈소스 메인테이너: Fair Source License, FSL 같은 새로운 라이선스 모델을 연구하라. “오픈소스이냐 아니냐”의 이분법보다, 지속가능한 수익 모델이 프로젝트 생존의 핵심이다.
• 보안 팀: Cal.com의 “AI 보안” 논거를 액면 그대로 받아들이지 마라. 소스 비공개는 방어 전략이 아니다. AI 기반 지속적 취약점 스캐닝이 실제 답이다.

참고 링크

• Cal.com Goes Closed Source: Why AI Security Is Forcing Our Decision
• Open Source Isn’t Dead — Strix
• The State of Open Source Licensing in 2026 — RedMonk
• State of Open Source on Hugging Face: Spring 2026
• Redis Returns to Open Source under AGPL — InfoQ
• Linux Foundation: Active Open Source Contribution Delivers 2-5x ROI

이전 글 추천: Ollama를 멈춰야 할 이유와 2026년 로컬 LLM 대안 가이드 — llama.cpp, vLLM, LM Studio, llamafile 비교.

관련 글

• Ollama를 멈춰야 할 이유와 2026년 로컬 LLM 대안 가이드
• 구글 Gemma 4 완벽 가이드: Apache 2.0 오픈 모델의 새 기준
• Karpathy의 LLM Wiki 패턴 — RAG를 대체할 새로운 지식 관리 방법