Executive Summary

주요 수치

출처: BurnRiSc 논문(arXiv:2609.19422, 2026-09-16)

번아웃을 재는 도구는 지금까지 설문지뿐이었다. 널리 쓰이는 매슬랙 번아웃 인벤토리는 유료 독점 도구다. 무료로 공개된 올덴부르크 번아웃 인벤토리는 소진과 이탈이라는 두 축으로 상태를 묻는다. 둘 다 당사자가 답을 적어야 성립한다. 정작 탐지가 가장 필요한 사람은 설문에 응답하지 않고, 이미 떠난 사람은 응답할 자리에 없다. 설문은 작성한 그 시점만 찍기 때문에 과거로 되짚을 수도 없다. 리눅스재단의 오픈소스 건강 지표 프로젝트 CHAOSS도 번아웃 항목을 정의해 두었지만, 그 역시 설문과 인터뷰로만 채워진다.

연구진이 던진 물음은 이것이다. 기여자들이 이미 공개된 자리에 남겨 둔 기록만으로 그 설문을 근사할 수 있는가. 그래서 올덴부르크 설문의 두 축을 깃허브에서 계산 가능한 열네 개 신호로 옮겼다. 소진 쪽 일곱 개에는 근무시간 밖 활동 비율, 풀 리퀘스트가 머지되기까지 걸린 날수, 소진을 드러내는 문구와 글이 얼마나 닮았는지가 들어간다. 이탈 쪽 일곱 개에는 월 커밋 수, 리뷰 참여 횟수, 열어 놓고 끝내 닫지 않은 풀 리퀘스트의 비율, 그리고 1인칭 대명사를 단수로 쓰는지 복수로 쓰는지가 들어간다. 마지막 항목은 팀과 거리를 두기 시작하면 "우리"가 "나"로 바뀐다는 가정에 기대고 있다.

중요한 설계는 채점 방식이다. 모든 신호는 절대 기준이 아니라 그 사람 자신의 과거와 견줘 점수가 매겨진다. 오픈소스 기여량은 사람마다 수십 배씩 차이가 나기 때문에, 월 커밋 30건이 누구에게는 평소이고 누구에게는 이례적이다. 그래서 각 신호는 그 기여자 전체 이력 안에서 지금이 몇 번째 백분위인지, 그리고 최근 4개월 추세의 기울기가 그 사람 기준으로 어느 쪽으로 꺾였는지를 각각 점수로 바꾼 뒤 평균을 낸다. 여기에 4개월 지수가중이동평균으로 잔떨림을 눌러 주고, 시그모이드 함수를 통과시켜 0과 1 사이 값으로 만든다. 두 축의 점수를 다시 평균하면 그달의 번아웃 위험 점수가 나온다.

열네 개 신호에 붙는 가중치는 연구진이 임의로 배정하지 않았다. 비교군, 활동이 주저앉은 무리, 번아웃 확정 사례 순으로 점수가 차례차례 벌어지도록 최적화 알고리즘으로 학습시켰고, 특정 출발점에 끌려가지 않도록 서로 다른 네 개의 기준점에서 각각 돌려 비교했다. 가장 무거운 가중치를 받은 신호는 근무시간 밖 활동이었고 월 커밋 수가 그 뒤를 이었다. 반대로 리뷰 참여나 풀 리퀘스트 반려율은 거의 영향을 주지 못했다. 표본을 100번 다시 뽑아 같은 절차를 반복했을 때 분리 폭이 크게 흔들리지 않았다는 점도 함께 보고돼 있다. 다만 연구진은 가벼운 가중치를 받았다고 그 신호를 버리지는 말라는 단서를 달았다. 이번 표본에 리뷰와 반려 사례가 적었던 탓일 수 있고, 코드 리뷰가 훨씬 촘촘하게 돌아가는 조직에서는 같은 신호의 무게가 달라질 수 있다.

글에서 뽑는 신호에는 따로 손이 많이 갔다. 일반적인 감정 분석기를 소프트웨어 저장소에 그대로 돌리면 "kill"이나 "execute" 같은 낱말을 험한 말로 읽어 버린다. 연구진은 그래서 감정 분류기를 이 도메인에 맞춰 다시 학습시켰다. 소진과 이탈을 드러내는 씨앗 문구를 축마다 서른 개씩 만들어 두고 기여자의 글이 그것과 얼마나 가까운지를 재는 방식도 함께 쓰는데, 표본 90건을 손으로 확인해 보니 높은 유사도를 받은 글 가운데 셋에 둘 정도가 실제로 들어맞았다. 빗나간 쪽의 주된 원인은 반어법이었다. 농담으로 "이 프로젝트 때문에 죽겠다"고 쓴 사람과 정말 지친 사람을 기계는 잘 가르지 못한다.

검증 대상은 저장소 열 곳의 기여자 68명이다. 먼저 번아웃을 공개적으로 밝힌 기여자가 최소 한 명 있는 저장소만 골랐다. 같은 저장소 안에서 밝힌 사람과 밝히지 않은 사람을 견줄 수 있어야 했기 때문이다. 각 저장소에서 커밋이 가장 많은 열 명씩을 뽑고 번아웃을 밝힌 기여자가 그 열 명 밖에 있으면 따로 더해 100명쯤을 모은 뒤, 백분위를 계산하려면 최소 3년치 이력이 필요하다는 조건을 걸어 68명으로 줄였다. 이 68명은 세 무리로 나뉜다. 번아웃을 직접 밝힌 10명, 밝히지는 않았지만 월간 활동이 과거 정점의 절반 이하로 두 달 이상 내려앉은 사람 가운데 낙폭이 가장 심한 12명, 그리고 어느 쪽도 아닌 46명이다.

확정 사례 10건의 시차가 이 논문의 핵심 결과다. 점수가 한 달 치솟는 것은 신호가 아니다. 임계값을 넘은 뒤 석 달 연속 그 위에 머문 경우만 세고, 그 구간의 첫 달을 시점으로 잡는다. 임계값도 임의로 정한 값이 아니라 비교군과 활동이 주저앉은 무리의 점수 분포 사이에서 계산된 0.412다. 이 기준으로 고백 이전 24개월을 되짚으면 6명에게서 신호가 고백보다 6~15개월 앞섰다. 점수가 최고점을 찍은 달까지 기준에 넣으면 8명으로 늘고 앞선 폭은 5~16개월이 된다. 되짚는 창을 아예 걷어 내고 그 이전 아무 시점까지 허용하면 10명 모두 적어도 한 번은 임계값을 넘는데, 이 숫자는 조기 경보의 근거로 쓰기 어렵다. 24개월 밖으로 밀려난 사례는 둘이고, 한 명은 고백보다 40개월, 다른 한 명은 52개월 앞서 신호가 찍혔다. 5년 전에 울린 경보를 경보라고 부르기는 어렵다. 다만 논문은 이 둘도 놓친 사례로 치지 않는다. 시점이 손쓸 범위를 벗어났을 뿐 방향은 열 건 모두 맞았다는 것이다.

활동이 주저앉은 12명 쪽에서도 비슷한 모양이 나왔다. 6명은 붕괴보다 4~13개월 앞서 신호가 잡혔고, 최고점 기준을 더하면 10명이 된다. 다만 이 12명은 번아웃으로 확인된 사람들이 아니다. 활동 곡선이 비슷한 모양으로 꺾였다는 이유로 묶인, 저자들 표현으로 약하게 라벨된 무리다.

비교군 46명 중 35명은 한 번도 임계값을 넘지 않았다. 나머지 11명은 넘었다. 이 11명에게 번아웃 공표도 활동 붕괴도 없었다는 사실이 그들에게 아무 일도 없었다는 증거는 아니라고 저자들은 적었다. 공개적으로 밝히지 않은 채 겪고 지나간 사람과 점수가 헛울린 경우를, 지금 가진 자료로는 가를 수 없다.

논문이 스스로 적어 둔 한계는 더 무겁다. 확정 사례 10건은 모두 번아웃을 겪고 그것을 공개적으로 말한 사람들이다. 말하지 않은 채 지나간 사람에게 같은 신호가 나타날지는 검증되지 않았다. 사례를 찾는 방법도 영어 키워드 검색이어서, 다른 언어로 말했거나 비공개 자리에서 말한 경우는 애초에 표본에 들어오지 않았다. 가중치는 열네 개인데 라벨은 열 건이다. 이 대목에서 논문은 자기 결과를 타당성 입증이 아니라 실현 가능성 시연으로 못 박는다. 확정 사례를 한 건씩 빼고 나머지로 다시 학습시켜 본 검증에서는 열 건 가운데 일곱 건만 기준선 위에 남았다. 게다가 이 점수가 근사하려는 대상은 올덴부르크 설문인데, 이번 검증은 설문 점수와 직접 맞춰 본 것이 아니라 고백 시점과의 시차로 대신한 것이고, 설문과의 대조는 앞으로 할 일로 남아 있다.

한계 목록의 마지막 두 항목은 성격이 다르다. 하나는 코딩을 대신해 주는 AI 에이전트다. 마음은 떠났는데 커밋은 계속 올라오는 상태가 가능해졌다는 지적이다. 이 틀에서 가장 무거운 가중치를 받은 두 신호가 근무시간 밖 활동과 커밋 수라는 점을 떠올리면 문제가 분명해진다. 다른 하나는 글이다. 열네 개 신호 가운데 여덟 개가 커밋 메시지와 리뷰와 이슈 댓글에서 나오는데, 그 글을 언어모델이 거들어 쓰면 신호가 재는 것은 그 사람의 말버릇이 아니라 생성된 문장이 된다. 이 편향이 어느 쪽으로 작용할지는 아직 모른다. 언어모델이 문장을 고르게 다듬어 지친 기색을 지울 수도 있고, 남의 손을 빌리기 시작했다는 사실 자체가 소진의 표시일 수도 있기 때문이다. 도구가 대신 흔적을 남기기 시작하면, 남은 기록을 읽어 사람을 짐작하는 방법은 그만큼 눈이 어두워진다.

논문은 오픈소스를 번아웃에 관한 한 최악에 가까운 환경이라고 부른다. 유지보수자는 끝을 알 수 없는 요구를 혼자 받아 내는데, 일을 나눠 줄 관리자도 없고 그가 무너지는 중이라는 사실을 알아챌 조직도 없다. 회사라면 상사나 동료가 맡았을 자리를 오픈소스에서는 아무도 맡고 있지 않다.

이 공백이 개인의 불행으로만 끝나지 않는다는 것을 2024년 xz 유틸리티 사건이 보여 줬다. 리눅스 배포판 대부분에 들어가는 압축 라이브러리를 사실상 혼자 맡아 온 유지보수자가 지쳐 있었고, 그 상태를 본인이 공개된 자리에 털어놓았다. 2022년 6월 메일링 리스트에서 그는 흥미를 잃은 것은 아니지만 오래된 정신 건강 문제 탓에 신경 쓸 여력이 줄었다고 답했다. 그 답장에 돌아온 것은 자기 한계를 알아야 하지 않겠느냐며 유지보수 자리를 넘기라는 재촉이었다. 나중에 밝혀진 바로는, 재촉을 보낸 계정들은 보통의 기여자가 아니라 2년 넘게 성실한 기여자 행세를 해 온 공격자와 발을 맞춘 것으로 보이는 이름들이었다. 몇 주 뒤 유지보수자는 그 공격자를 사실상 공동 유지보수자라고 소개했고, 이듬해에는 프로젝트의 대외 연락처까지 그쪽으로 넘어갔다. 백도어는 그렇게 얻은 권한 위에서 심겼다. 그것이 주요 배포판으로 퍼지기 직전에 멈춘 것은 우연 덕분이었다. 다른 소프트웨어의 성능을 측정하느라 조용한 기계가 필요했던 한 엔지니어가, 실패하는 ssh 접속이 CPU를 이상하게 많이 쓰는 것을 눈치챘다. 그가 공개한 접속 시간은 0.299초와 0.807초였다.

이 사건을 놓고 보면 조기 경보라는 발상이 왜 매력적인지 분명해진다. 그때 누군가 그 저장소의 위험 점수가 몇 달째 오르고 있다는 것을 알았다면, 권한을 넘기라는 재촉 대신 일을 나눠 질 사람을 먼저 찾았을 수도 있다. 소프트웨어 지속가능성의 문제로 번아웃을 다뤄야 한다는 논문의 주장은 이 지점에 서 있다. 이 사건에는 뒤집힌 교훈도 하나 딸려 있다. xz에서 공개된 흔적으로 유지보수자의 상태를 먼저 읽어 낸 쪽은 도우려던 사람이 아니라 그 상태를 지렛대로 쓰려던 쪽이었다.

다만 그 매력에 기대어 한 걸음 더 나가면 바로 다음 물음이 나온다. 점수가 올라간 것을 누가 보는가. 당사자가 보는 것과 프로젝트 운영진이 보는 것과 그를 고용한 회사가 보는 것은 전혀 다른 일이다. 논문은 이 질문에 답을 내놓았다.

연구진이 논의 절에 적어 둔 조건은 세 겹이다. 첫째, 이 점수는 진단 도구가 아니다. 높은 점수는 결론이 아니라 관심의 계기여야 한다. 둘째, 실제로 쓴다면 신호에는 가볍고 판단이 섞이지 않은 반응이 따라야 한다. 정식 보고서를 쓰거나 개입 절차를 밟는 것이 아니라, 당사자가 자기 상태를 한번 돌아보고 필요하면 쉬는 정도다. 셋째가 가장 분명하다. 이 틀은 다른 사람이 시작하는 평가를 촉발해서는 안 된다고 논문은 적었다.

셋째 조건에는 실용적인 근거도 달려 있다. 행동이 자기 평판에 영향을 준다는 것을 알게 되면 사람은 그 행동을 감춘다. 새벽 커밋이 관리자에게 보고된다는 사실을 알면, 그 커밋은 아침에 올라온다. 그러면 이 틀이 기대는 신호 자체가 사라지고, 신호로 찾아내려던 도움도 함께 사라진다. 논문의 표현으로는, 도움을 주려고 만든 장치가 도움이 필요한 사람을 벌하는 장치로 바뀌는 순간 목적이 뒤집힌다.

이 조건들이 연구자의 손을 떠난 곳에서도 지켜지리라는 보장은 없다. 열네 개 신호를 다시 보면 대부분이 오픈소스 특유의 자료가 아니다. 언제 일했는지, 리뷰에 얼마나 들어왔는지, 열어 둔 작업을 끝냈는지, 글이 짧아지고 밋밋해졌는지. 이것은 사내 깃 저장소와 이슈 트래커와 메신저에 이미 쌓여 있는 것들이다. 오픈소스와 다른 점은 하나다. 회사 로그는 애초에 공개된 적이 없고, 직원이 그것을 공개했다고 여긴 적도 없다.

직원 활동에서 상태를 추정하는 제품은 이미 팔리고 있다. 감시라는 말 대신 인사이트나 웰빙이라는 말을 붙이는 것이 최근의 방식이다. 영국의 공인경영자협회가 2025년 9월 관리자 900여 명에게 물은 조사에서는 기업 약 3분의 1이 로그인 시각과 브라우저 기록과 이메일을 들여다보는 도구를 쓰고 있었다. 관리자 중 절반 남짓은 이를 지지했고 42%는 반대했는데, 반대 이유로 가장 많이 나온 것이 신뢰가 깨진다는 것이었다. 2026년 3월에는 한 대형 투자은행이 주니어 직원의 키보드 입력과 화상회의와 회의 일정을 모아 주당 업무량을 추정하고 있다는 보도가 나왔다. 눈여겨볼 것은 그 은행의 해명이다. 이 도구는 스마트폰의 주간 사용시간 요약 같은 것이고 단속이 아니라 자각을 위한 것이며 평가에는 쓰지 않는다고 했다. 논문이 조건으로 적어 둔 문장과 거의 같은 말이다. 번아웃을 찾아내겠다는 목적과 근태를 관리하겠다는 목적은 말로는 이렇게 쉽게 구별되지만, 로그를 긁어 점수를 매기는 절차는 둘 다 똑같다.

논문의 마지막 문단에 앞으로 할 일이 하나 있다. 거기서 소묘만 해 둔 윤리적 틀을 제대로 세우겠다는 것이다. 공개된 흔적에서 심리 상태를 추론하는 일이 동의와 적절한 사용 범위의 문제를 일으키기 때문이라고 저자들은 썼다. 기술을 만든 사람들이 기술보다 그 조건이 덜 준비됐다고 먼저 말한 셈이다.

우리가 데이터 품질을 이야기할 때 자주 쓰는 구별이 여기에도 그대로 걸린다. 어떤 값이 존재한다는 것과 그 값이 무엇을 위해 어떤 조건에서 만들어졌는지가 함께 남아 있다는 것은 다른 상태다. 커밋 타임스탬프는 코드가 언제 저장소에 들어왔는지를 기록하려고 찍힌 값이다. 그 값을 모아 사람의 정신 상태를 추정하는 것은 원래 용도가 아니다. 수집 목적을 넘어 쓰려면 별도의 근거가 있어야 하고, 대상이 된 사람이 그 사실을 알아야 한다.

협업 로그를 사람에 대한 판단으로 바꾸려는 조직이라면, 시작하기 전에 정해 둘 것이 몇 가지 있다. 모두 기술이 아니라 문서의 문제라, 먼저 정하면 거의 비용이 들지 않고 나중에 정하려 하면 정할 수 없다.

• 점수를 볼 수 있는 사람이 누구인가. 당사자만인가, 관리자도인가. 그 경계가 문서에 적혀 있는가.
• 점수가 높게 나왔을 때 무엇이 자동으로 시작되는가. 아무것도 시작되지 않는다면, 그 사실도 적혀 있어야 한다.
• 계산에서 빠지겠다고 말할 수 있는가. 빠진 사람이 불이익을 받지 않는다는 것을 무엇이 보장하는가.
• 어떤 로그가 입력으로 들어가는지 목록이 공개돼 있는가. 직원이 자기 점수의 근거를 되짚어 볼 수 있는가.

이 연구가 지금 서 있는 자리는 도구가 아니라 가설이다. 표본 68명에 확정 사례 10건이고, 그렇게 판정한 쪽도 저자들 자신이다. 그런데 가설이 도구가 되기까지 걸릴 시간보다, 회사가 자기 로그로 비슷한 것을 만들어 보기까지 걸릴 시간이 더 짧을 수 있다. 점수를 정확하게 만드는 일과 그 점수를 어디까지 써도 되는지 정하는 일은 서로 다른 일이고, 지금은 앞쪽만 빨리 움직이고 있다.

여기까지 읽어 주셔서 감사하다. 이 글이 인용한 사실은 BurnRiSc 논문과 저자들이 공개한 코드 저장소에서 누구나 확인할 수 있다. 여러분의 조직은 협업 로그를 사람에 대한 판단에 쓸 때 그 경계를 어디에 그어 두는지 나눠 주시면 좋겠다.

학술 논문·공개 자료

• 1.Sanko, T., Tian, Y., Guizani, M. (2026). "BurnRiSc: Toward Non-Invasive Burnout Screening in Open Source from Public Repository Signals." arXiv:2609.19422.
• 2.RISE Lab, Queen's University (2026). "RISElabQueens/BurnRiSc." GitHub — 논문 부속 코드·가중치·통계.

xz 백도어 1차 자료

• 3.Freund, A. (2024). "backdoor in upstream xz/liblzma leading to ssh server compromise." oss-security mailing list, 2024-03-29.
• 4.Cox, R. (2024). "Timeline of the xz open source attack." research!rsc.

업계·보도

• 5.Soliman, I. (2025). "Third of UK firms deploy 'bossware' to track staff activity, survey reveals." People Management, 2025-09-17.
• 6.Burleigh, E. (2026). "JPMorgan has started monitoring the keystrokes, video calls, and meetings of its junior investment bankers." Fortune, 2026-03-24.