구글 오픈소스 버그바운티 중단, AI 생성 제보 급증이 원인

무슨 일이 있었나

구글은 오픈소스 버그바운티 프로그램을 동결했습니다. TechCrunch는 2026년 10월 4일 구글이 AI로 작성된 제보의 '현저한 증가(significant rise)'를 이유로 들었다고 전했습니다.

버그바운티는 외부 보안 연구자가 취약점을 찾아 신고하면 보상금을 주는 제도입니다. 구글의 오픈소스 버그바운티는 구글이 관리하는 오픈소스 프로젝트를 대상으로 운영돼 왔습니다.

TechCrunch는 AI가 만들어낸 저품질 제보, 이른바 'AI 슬롭(AI slop)'이 버그바운티 프로그램 전반을 압도하는 것으로 보인다고 전했습니다.

왜 중요한가

이 사건이 중요한 이유는 AI가 공격뿐 아니라 방어 절차에도 부담을 주고 있음을 보여주기 때문입니다. 취약점 제보는 받은 뒤 사람이 재현하고 판단해야 하는데, 생성 비용이 사실상 사라지면서 접수와 검증의 균형이 깨졌습니다.

구글처럼 전담 보안 조직을 둔 회사도 프로그램을 멈춰야 했다는 점이 시사적입니다. 검증 인력이 적은 조직일수록 같은 상황에 더 빨리 도달합니다.

같은 시기 국내에서는 AI 기반 자율형 침투테스트 도구가 공격에 쓰인 정황이 제기됐습니다. 제보 창구는 AI 생성물로 막히고 공격은 AI로 자동화되는 상황이 동시에 나타나고 있습니다.

우리에게 어떤 의미인가

외부 취약점 제보 창구(security@ 메일, 신고 페이지)를 운영한다면 접수 양식부터 손봐야 합니다. 재현 절차, 영향 범위, 실제 동작 증거(PoC)를 필수 입력으로 두면 검증 가능한 제보와 그렇지 않은 제보를 입구에서 나눌 수 있습니다.

처리 기준도 미리 정해두는 것이 좋습니다. 재현 불가 제보의 반려 기준, 중복 제보 처리 방식, 담당자 1인당 주간 처리 상한을 문서로 두면 제보가 몰릴 때 조직이 멈추지 않습니다.

사내 보안 인식 교육에도 반영할 수 있습니다. AI로 그럴듯한 문서를 만드는 비용이 낮아진 만큼, 외부에서 오는 메일과 신고 문서를 그대로 믿지 않는 훈련이 필요합니다. 진일의 PhishSense 피싱 메일 모의훈련은 실제 메일 환경에서 임직원의 판단을 점검하는 데 쓰입니다.

용어

버그바운티

버그바운티는 기업이 외부 보안 연구자에게 자사 제품의 취약점을 신고받고 그 대가로 보상금을 지급하는 제도이다.

AI 슬롭(AI slop)

AI 슬롭은 생성형 AI로 대량 생산된 내용 없는 저품질 결과물을 가리키는 표현이다.

자주 묻는 질문

Q. 구글 오픈소스 버그바운티는 왜 중단됐나요?

A. AI로 생성된 취약점 제보가 크게 늘어났기 때문입니다. TechCrunch는 2026년 10월 4일 구글이 AI 제보의 현저한 증가를 이유로 오픈소스 버그바운티 프로그램을 동결했다고 보도했습니다.

Q. 우리 회사 취약점 제보 창구는 어떻게 관리해야 하나요?

A. 재현 절차와 실제 동작 증거를 필수 입력 항목으로 두는 것이 효과적입니다. 재현 불가 제보의 반려 기준과 담당자 처리 상한을 미리 문서화해 두면 제보가 몰릴 때도 검증 절차가 유지됩니다.

출처

• TechCrunch ↗