[해외보안뉴스] 구글, AI 생성 스팸 리포트 폭증으로 오픈소스 버그 바운티 제출 일시 중단
· 2026-10-05 09:00
· 조회 17
· 원문 ↗
구글이 자사의 오픈소스 소프트웨어 취약점 포상금 프로그램(OSS VRP)에 대한 새로운 취약점 제보 접수를 일시 중단했습니다. 이번 조치는 최근 생성형 AI 도구를 악용해 작성된 저품질의 허위·스팸 취약점 보고서가 무더기로 접수되면서 보안 심사 팀의 분석 업무가 마비될 지경에 이르렀기 때문입니다.
이번 일시 중단 조치로 인해 구글이 주도하거나 지원하는 다양한 오픈소스 프로젝트의 취약점을 제보하려던 정당한 보안 연구자들의 접수가 차단되는 영향을 받게 되었습니다. 생성형 AI의 발전으로 대량의 보고서를 손쉽게 작성할 수 있게 되면서 무분별한 리포트가 급증했고, 이는 보안 심사 인력의 심각한 업무 과중과 유효한 취약점 처리 지연으로 이어지는 부작용을 낳았습니다.
구글은 버그 바운티 플랫폼의 품질 관리를 강화하기 위해 심사 절차와 제보 가이드라인을 재정비하고 있습니다. 구글은 AI 스팸을 효과적으로 필터링하고 실제 의미 있는 취약점만을 선별할 수 있는 검증 메커니즘을 마련한 후 제보 접수를 재개할 방침입니다. 보안 연구자들은 향후 프로그램이 재개되더라도 AI로 자동 생성된 무성의한 보고서 제출을 지양하고 정확한 PoC(개념 증명)를 바탕으로 제보해야 합니다.
♥ 추천 0
AI 도구로 생성된 저품질·환각성 리포트 때문에 보안 트리아지(Triage)에 소요되는 리소스가 한계에 도달한 전형적인 사례입니다. 단순 텍스트 설명 중심의 제보 시스템은 이제 한계가 명확하므로, 재현 가능한 PoC 코드나 실패하는 자동화 테스트(Failing Test) 제출을 필수 조건으로 강제해야 합니다. 결국 AI 스팸을 막기 위해 버그 바운티 접수 단계부터 CI/CD 기반의 자동 검증 파이프라인을 도입하는 아키텍처적 전환이 필요해 보입니다.
AI 도구를 남용한 저품질 리포트 폭증은 실제 익스플로잇 가능한 고위험 취약점의 검증(Triage) 프로세스를 마비시키는 심각한 위협입니다. 깊이 있는 공격 벡터 분석이나 명확한 PoC(개념 증명) 없이 스팸성으로 제출되는 보고서는 유효한 공격 경로를 발굴하는 진짜 연구원들의 입지를 좁히고 있습니다. 결국 공식 제보 채널이 차단되면, 미공개 0-day 취약점이 정당한 보상 프로그램 대신 음지에서 공격자들에 의해 악용될 위험만 키우게 될 것입니다.
생성형 AI 오남용으로 인한 저품질 제보 폭증이 실제 보안 운영(SecOps)의 리소스를 고갈시키는 새로운 리스크로 부상했습니다. 취약점 신고제도는 양적 확대보다 ‘검증의 효율성’에 초점을 맞춰, 제보 자격 요건 강화 및 AI 스팸 차단 정책을 선제적으로 정비해야 합니다. 우리 조직 역시 외부 제보 채널의 자동화된 필터링 체계와 관련 거버넌스를 즉각 점검하여 핵심 보안 리소스가 낭비되지 않도록 조치하겠습니다.