구글, 오픈소스 버그 바운티 중단…AI가 쓴 가짜 보고서 폭주

구글이 오픈소스 프로젝트의 보안 취약점을 찾아낸 외부 연구자에게 포상금을 지급하던 버그바운티 프로그램에서 신규 제보 접수를 중단했다. AI 도구로 작성한 제보가 쏟아졌고, 그중 대부분은 실제로 존재하지 않는 버그를 다뤘기 때문이다.

영향은 구글에만 그치지 않는다. Go 프로그래밍 언어와 Angular 웹 프레임워크, Bazel 빌드 시스템, Protocol Buffers는 수백만 개의 앱과 웹사이트를 뒷받침한다. 버그바운티는 공격자가 취약점을 악용하기 전에 외부 연구자들이 이를 찾아내고 보상을 받을 수 있는 통로 가운데 하나였다. 당분간 그 통로는 절반쯤 닫힌 셈이다.

버그바운티는 간단한 약속을 바탕으로 운영된다. 누구나 코드를 살펴볼 수 있고, 실제 취약점을 발견해 비공개로 제보하면 회사가 보상금을 지급한다. 구글의 Open Source Software Vulnerability Reward Program은 제보 한 건당 100달러에서 3만1,337달러를 지급했다. 최고액은 오래된 해커 은어에서 ‘엘리트’를 뜻하는 표현을 빗댄 금액이다. 제보가 접수되면 보안 엔지니어가 이를 검토하고, 보상금을 지급하기 전에 문제를 직접 재현해야 한다.

바로 이 사람의 검토 단계에서 시스템에 병목이 생겼다. 구글은 공지에서 이번 중단이 “자동화된 제보가 크게 늘었고, 그중 압도적 다수가 유효하지 않은 데 따른 것”이라고 밝혔다. AI 모델이 만든 제보는 코드 조각과 단계별 공격 경로, 단정적인 심각도 평가까지 담아 전문가의 분석처럼 보일 수 있다. 이 문제를 추적하는 보안 연구자들은 AI가 존재하지 않는 공격 경로를 지어내거나, 코드가 작동하는 방식을 잘못 가정하거나, 실제로는 접근할 수 없는 취약 함수에 접근할 수 있다고 주장하는 사례를 지적한다. 엔지니어는 이 제보 하나하나가 틀렸다는 사실을 확인하는 데 시간을 들여야 한다.

이번 중단의 범위는 처음 들리는 것만큼 넓지는 않다. 구글은 손상된 의존성이나 탈취된 빌드 파이프라인을 알리는 유형의 공급망 제보는 계속 접수하며, 접수 마감 전에 제출된 제품 관련 제보도 모두 처리를 마칠 예정이다. 주요 오픈소스 프로젝트의 보안을 강화하는 수정 작업에 최대 1만5,000달러를 지급하는 Patch Rewards Program도 계속 운영된다. Google Cloud 저장소의 일부 취약점은 별도의 Cloud 프로그램을 통해 여전히 제보할 수 있다.

다만 대가는 따른다. 이번 중단으로 AI를 여러 도구 가운데 하나로 신중하게 활용하는 연구자들까지 제보할 기회를 잃게 되며, 그사이 진짜 취약점을 찾아내더라도 구글 엔지니어에게 알리고 보상을 받을 수 있는 경로가 하나 줄어든다. 구글은 제보를 몇 건이나 받았는지, 그중 AI가 작성한 제보의 비중은 얼마인지, 프로그램을 재개할 때 유효한 자동화 분석과 허위 제보를 어떻게 구분할지 밝히지 않았다.

이런 난관을 겪은 곳은 구글이 처음이 아니다. 수십억 대 기기에 탑재된 데이터 전송 도구 curl의 수석 유지관리자 다니엘 스텐베리(Daniel Stenberg)는 AI가 생성한 제보가 계속 쌓이자 2026년 1월 해당 프로젝트의 버그바운티를 종료했다. 3월에는 Anthropic, Google, Microsoft, GitHub, OpenAI, AWS가 Open Source Security Foundation과 그 산하 Alpha-Omega 프로젝트에 1,250만 달러를 지원하겠다고 약속했다. AWS는 AI가 생성한 제보가 오픈소스 유지관리자들에게 감당하기 힘든 부담을 주고 있다고 경고했다.

이번 중단은 10월 1일부터 적용됐으며, 구글은 2027년 1분기에 개편된 프로그램에 관한 소식을 알리겠다고 약속했다. 그때까지 구글 오픈소스 코드에서 제품 취약점을 발견한 연구자들은 회사의 다른 보상 프로그램을 이용하라는 안내를 받게 된다.

버그를 더 빠르게 찾아내겠다던 도구가 결국 버그를 확인하는 사람들을 제보 속에 파묻히게 했다. 당분간 오픈소스 보안 분야에서 가장 귀한 자원은 제보 내용을 읽어볼 시간이 충분한 사람이다.

태그: Google, 사이버 보안, 오픈소스, AI 생성 보고서, curl, Google OSS VRP