AI 뉴스 · Google · 보안
Google, AI가 쓴 보고서 폭주로 오픈소스 버그 바운티 일시 중단
AI가 만든 무효 신고가 쏟아지면서 Google 오픈소스 보상 프로그램의 제품 결함 신고 접수가 중단됐습니다.
Tom’s Hardware는 10월 3일 토요일 보도에서, Google이 저품질 AI 생성 제보가 수천 건 쏟아지자 2026년 10월 1일부터 오픈소스 소프트웨어 취약점 보상 프로그램(OSS VRP)의 제품 취약점 제보 접수를 중단했다고 전했습니다. 제보 상당수는 존재하지 않거나 악용할 수 없는 결함을 설명하고 있었고, 유지보수 담당자들은 수리에 쓸 수 있었던 시간을 선별 작업에 허비했습니다.
중단은 부분적입니다. 10월 1일 이전에 접수된 제보는 영향을 받지 않고, 공급망 관련 제보는 계속 접수하며, 일부 Google Cloud 저장소는 Google의 Cloud VRP가 다룹니다. Tom's Hardware에 따르면 Google은 프로그램의 이 부분을 개편하는 동안 2027년 1분기까지 업데이트를 내놓겠다고 약속했습니다.
Hardware Busters에 따르면 이 프로그램은 2022년에 시작해 제보 1건당 100~31,337달러를 지급했으며, Google의 AI 에이전트가 오픈소스 코드에서 실제 결함 20건을 직접 찾아내기도 했습니다. Tom’s Hardware는 Intel이 결함 1건당 최대 100,000달러를 지급하던 바운티를 중단했고, Linux 유지보수 담당자들은 릴리스마다 CVE 발견 건수가 사상 최대라고 전한다고 덧붙였습니다.
AI 보안 툴을 도입하는 팀이 얻을 교훈은 물량에 있습니다. AI는 그럴듯한 취약점 보고서를 순식간에 쓰게 해 주지만, 유지보수 담당자가 그 보고서가 틀렸음을 입증하는 데는 오래 걸립니다.
