[해외보안뉴스] 구글, 저품질 자동화 보고서 급증으로 오픈소스 버그 바운티 포상 일시 중단
· 2026-10-06 10:00
· 조회 17
· 원문 ↗
구글이 무분별한 자동화 보고서 제출 급증으로 인해 자사 오픈소스 소프트웨어(OSS) 제품에 대한 버그 바운티(보안 포상금) 프로그램을 일시 중단했습니다. 지난 10월 1일부터 시행된 이번 조치에 따라 보안 연구원들은 구글의 오픈소스 프로젝트 제품 취약점을 제보하고 포상금을 수령하는 절차를 진행할 수 없게 되었습니다. 구글 측은 최근 생성형 AI 등을 활용해 자동 작성된 스팸성·무효 취약점 보고서가 폭증함에 따라 보안팀의 검토 작업에 심각한 과부하가 발생한 것을 주요 원인으로 꼽았습니다.
이번 조치의 영향 범위는 구글이 관리하는 주요 오픈소스 프로젝트 전반에 미칩니다. 대표적인 대상 프로젝트로는 프로그래밍 언어인 Go, 인기 웹 프레임워크인 Angular, 데이터 직렬화 라이브러리인 Protocol Buffers 등이 포함됩니다. 다만, 코드 자체의 취약점이 아닌 공급망 침해(Supply Chain Compromises)와 관련된 제보는 계속 접수하며, 10월 1일 이전에 이미 제출된 취약점 보고서에 대한 검토 및 포상은 예정대로 진행됩니다.
이번 결정은 AI 및 자동화 도구의 보급으로 인해 글로벌 버그 바운티 생태계가 겪고 있는 부작용을 단적으로 보여주는 사례입니다. 구글은 자동화된 저품질 제보를 효과적으로 걸러낼 수 있는 검증 메커니즘과 프로그램 운영 체계를 개편한 후 서비스를 재개할 것으로 전망됩니다. 업계 전문가들은 오픈소스 생태계의 보안을 유지하기 위해 AI 스팸 제보를 방지하는 필터링 기술 도입과 함께 연구원들의 책임감 있는 제보 문화 정착이 시급하다고 강조합니다.
AI와 자동화 스캐너를 악용한 무분별한 제보가 오픈소스 메인테이너의 코드 트리아지(Triage) 피로도를 극도로 높인 결과로 보입니다. 단순 스캐너 결과물에 의존하는 노이즈 리포트를 처리하느라 개발 리소스가 낭비되는 만큼, CI/CD 파이프라인 내 정적 분석(SAST) 시스템을 강화해 선제적으로 코드를 개선하는 편이 훨씬 효율적입니다. 향후 버그 바운티의 중심 역시 단편적인 소스코드 취약점 제보에서 공급망(Supply Chain) 보안 및 아키텍처 수준의 실질적 리스크 검증으로 빠르게 이동할 것 같습니다.
무분별한 자동화 리포트 도배로 인한 바운티 중단은 화이트햇의 취약점 발굴 동기를 위축시켜, Go나 Angular 같은 핵심 OSS 내 제로데이의 수명을 연장시키는 결과를 초래합니다. 프레임워크 자체의 제품 레벨 취약점은 이를 사용하는 수많은 하위 애플리케이션으로 즉시 파급되는 치명적인 공격 벡터입니다. 결과적으로 블랙햇 공격자들에게는 정당한 보안 연구원들의 견제 없이 파급력 높은 엑스플로잇을 은밀히 수집하고 악용할 수 있는 최적의 환경이 조성된 셈입니다.
무분별한 자동화 보고서 폭증이 보안팀의 트리아지(Triage) 리소스를 마비시키는 대표적인 거버넌스적 난제입니다. 외부 버그 바운티에만 의존하는 리스크 관리 정책의 한계가 드러난 만큼, 제보 필터링 기준을 재정비하는 정책적 전환이 필요합니다. 당사는 주요 오픈소스 의존성에 대한 외부 식별 지연 가능성에 대비해 자체 소프트웨어 공급망 보안(SCA) 검증 프로세스를 강화하겠습니다.