구글, AI발 부실 제보 급증에 오픈소스 버그바운티 중단

구글이 1일(현지시간)부터 오픈소스 소프트웨어 취약점 보상 프로그램(OSS VRP)의 제품 취약점 제보 접수를 일시 중단했다. AI로 자동 작성된 부정확한 버그 제보가 크게 늘었고, 그중 대부분이 유효하지 않은 것으로 나타났기 때문이다. 구글 보안 팀은 공식 블로그를 통해 실제 보안 취약점을 찾아야 할 인력이 엉터리 제보를 검증하는 데 소모돼 프로그램 운영 부담이 커졌다고 설명했다.

이 일이 어디서 왔나

구글의 오픈소스 취약점 보상 프로그램(OSS VRP)은 외부 연구자의 자발적 제보를 사람이 검증해 포상하는 구조로 운영돼 왔다. 생성형 AI가 코드 분석과 보고서 작성을 손쉽게 해주면서 제보 작성 비용이 크게 낮아졌고, 그 결과 검증되지 않은 저품질 제보가 쏟아지는 부작용이 나타난 것으로 보인다. 10월 3일 시큐아이 행사에서도 AI 자율성 확대에 따른 보안 리스크와 거버넌스 필요성이 논의된 바 있는데, 이번 중단 조치는 그런 우려가 실제 운영 현장에서 구체적 문제로 드러난 사례로 볼 수 있다.