AI가 쏟아낸 '엉터리 제보'에... 구글, 오픈소스 버그 바운티 일시 중단

구글이 최근 인공지능(AI) 기술로 인해 발생한 엉터리 버그 제보의 증가로 오픈소스 소프트웨어 취약점 보상 프로그램의 일부 운영을 일시 중단하기로 결정했다. 이는 AI 기반의 자동화된 보고 시스템이 품질보다 양을 중시하는 경향을 드러내면서 생긴 문제로, 구글 보안 팀은 이로 인해 실제 보안 취약점을 찾는 데 필요한 인력이 무분별한 제보 검증에 소모되고 있다고 밝혔다.

AI로 인해 증가한 부정확한 제보

구글의 오픈소스 소프트웨어 취약점 보상 프로그램(OSS VRP)은 외부 보안 연구자들이 자발적으로 구글의 공개 오픈소스 프로젝트에서 발견한 코드 결함이나 보안 문제를 신고하는 시스템이다. 이 프로그램은 보안 연구자들에게 보상을 제공함으로써 소프트웨어의 안전성을 높이는 데 기여하고 있다. 그러나 최근 AI의 발전으로 불특정 다수의 제보가 자동으로 생성되면서 문제가 발생했다.

AI는 수많은 코드라인을 신속하게 분석하고 그에 대한 버그 제보를 양산할 수 있는 능력을 가지고 있다. 하지만 이러한 자동화된 제보는 종종 실제 취약점을 반영하지 않거나, 심지어 존재하지 않는 결함에 대한 보고로 이어지고 있다. 구글의 보안 팀은 "자동화된 제보가 크게 증가하였고, 이 중 대다수는 유효하지 않다"고 강조하며, 이러한 현상이 프로그램 운영에 부담을 주고 있다고 설명했다.

운영 중단의 배경과 영향

구글은 이 같은 문제를 해결하기 위해 10월 1일부터 OSS VRP의 제품 취약점 제보 접수를 일시 중단하기로 결정했다. 이 조치는 최소 2027년 1분기까지 지속될 것으로 보이며, 그 동안 구글은 프로그램 운영 방식을 재정비하고 새로운 검증 체계를 마련할 계획이다. 이와 함께 이미 제출된 제품 취약점 제보는 정상적으로 처리될 예정이다. 특히, 오픈소스 소프트웨어 공급망 관련 제보는 중단 대상에서 제외되어, 해당 분야는 계속해서 운영될 것으로 알려졌다.

구글의 이러한 조치는 단순한 내부 문제에 국한되지 않으며, 리눅스 커널을 포함한 여러 글로벌 IT 기업에서도 유사한 어려움을 겪고 있다. 리눅스 커널 유지 관리자들은 AI 기반 도구가 쏟아내는 보고서로 인해 업무의 효율성이 떨어지고 있다고 호소하고 있으며, 애플과 인텔 등 다른 대기업들도 AI 제보로 인한 과부하에 직면해 있다. 인텔은 최대 10만 달러의 보상이 걸린 버그 바운티 프로그램을 중단했지만, 중단 이유로 AI 제보를 명시적으로 언급하지는 않았다.

향후 전망

AI 기술의 발전은 분명히 소프트웨어 개발과 보안 분야에 혁신을 가져올 수 있는 잠재력을 가지고 있다. 그러나 이번 구글의 결정은 이를 활용하는 과정에서 발생하는 새로운 문제를 상기시켜준다. 앞으로 AI의 자동화 도구가 더욱 진화하더라도, 그 품질과 신뢰성을 확보하는 것이 중요하다는 점이 강조될 것이다. 구글은 향후 검증 체계를 개선하여 AI 생성 제보가 아닌, 실질적인 취약점을 발견하는 데 중점을 두는 방향으로 나아갈 예정이다. 이러한 변화가 보안 산업 전반에 긍정적인 영향을 미치기를 기대해 본다.