[해외보안뉴스] 구글, 무분별한 자동화 제보 급증으로 오픈소스 버그 바운티 축소
· 2026-10-06 02:00
· 조회 16
· 원문 ↗
구글이 자사의 오픈소스 소프트웨어 취약점 포상금 프로그램(OSS VRP)을 통해 제출되는 제품 취약점 보고서 접수를 일시적으로 중단했습니다. 이는 최근 생성형 AI 및 자동화된 스캐닝 도구를 사용해 생성된 질 낮은 제보가 폭증함에 따라 분석팀의 심사 부담이 과도하게 커졌기 때문입니다.
이번 조치로 인해 구글이 관리하는 다양한 오픈소스 프로젝트의 제품 취약점에 대한 외부 보안 연구원들의 제보 접수가 당분간 제한됩니다. 스팸성 자동화 보고서의 급증은 단순한 행정적 불편을 넘어, 정당한 보안 연구원들의 유효한 제보 처리를 지연시키고 오픈소스 보안 생태계 전체의 버그 바운티 운영 효율성을 저해하는 영향성을 미치고 있습니다.
구글은 스팸 필터링 시스템을 정비하고 자동화된 허위 제보를 효과적으로 걸러낼 수 있는 검증 프로세스를 강화한 뒤 프로그램을 재개할 계획입니다. 보안 연구원들은 단순히 자동화 도구의 출력 결과를 제출하는 것을 지양하고, 실제 취약점 증명(PoC)과 명확한 영향도가 포함된 고품질 제보를 작성해야 합니다.
♥ 추천 0
최근 LLM과 자동화 스캐너 남용으로 인한 노이즈성 스팸 리포트는 보안 팀과 메인테이너의 트리아지(Triage) 피로도를 극심하게 높입니다. 동작 가능한 PoC(개념 증명) 재현 코드 없이 단순 스캔 결과만 제출되는 리포트는 실제 취약점 패치에 쓰여야 할 개발 리소스를 낭비시킬 뿐입니다. 향후 버그 바운티 시스템은 제보 수신 단계에서 정적 분석 결과의 유효성을 1차 검증하는 가드레일 아키텍처 도입이 시급해 보입니다.
AI와 자동화 스캐너를 남용한 저품질 스팸 리포트가 결국 보안 생태계에 독이 된 전형적인 사례입니다. 실제 파괴력 있는 공격 벡터는 단순 스캔이 아닌 숙련된 침투 테스터의 정교한 로직 분석과 공격 체이닝을 통해 발굴되는데, 정당한 연구자들의 진입 장벽만 높아진 셈입니다. 이번 프로그램 축소로 인해 악용 가능성이 높은 오픈소스의 실제 제로데이(0-day) 취약점이 방치되어 공격자들에게 먼저 노출될까 우려됩니다.
AI 및 자동화 스캐닝 툴의 급증으로 인한 저품질 취약점 제보 폭증은 보안 운영 팀의 분석 피로도를 극대화하는 새로운 리스크입니다. 구글의 이번 조치는 버그 바운티 프로그램 역시 제보의 질을 담보할 수 있는 엄격한 수집 및 검증 거버넌스가 필수적임을 보여줍니다. 우리 조직 또한 외부 취약점 신고(VDP) 정책을 재점검하여 무분별한 자동화 리포트를 걸러내고 실제 유의미한 위협에 대응 리소스를 집중해야 합니다.