구글, AI 제보 급증에 오픈소스 취약점 접수 일부 중단

구글이 10월 1일부터 오픈소스 소프트웨어 취약점 보상 프로그램(OSS VRP)에서 제품 취약점 제보를 받지 않는다. 취약점은 공격에 악용될 수 있는 보안 결함을 말한다. 구글은 기계가 자동으로 만들어 보내는 제보가 크게 늘었고 그 대부분이 유효하지 않다고 중단 이유를 밝혔다. 구글의 공개 소프트웨어에서 보안 문제를 찾아 보상을 받으려던 연구자는 제보 종류에 따라 창구를 다시 확인해야 한다.

어떤 제보가 멈췄나

이번 중단은 OSS VRP 가운데 제품 취약점 제보에만 적용된다. 소프트웨어를 만들고 배포하는 과정의 보안을 다루는 공급망 관련 제보는 계속 받는다. 10월 1일 전에 제출한 제보도 그대로 처리된다.

구글 클라우드 제품에 영향을 주는 일부 코드 저장소의 제품 취약점은 별도 프로그램인 Cloud VRP로 낼 수 있다. 구글은 다른 취약점 보상 프로그램이나 패치 보상 프로그램도 이용하라고 연구자에게 안내했다.

그동안 어떤 조치가 있었나

구글은 접수를 멈추기 전에도 제보 기준을 두 차례 손질했다. 2026년 3월에는 AI가 만든 제보가 급증했다는 이유로 보안 문제를 입증하는 요건을 강화했다. 검증되지 않은 제보, 보안에 미치는 영향이 미미한 제보도 당시 조치의 배경으로 들었다. 4월에는 중요도가 낮은 프로젝트의 일부 제품 취약점 제보에 돈과 공로 인정을 모두 주지 않기로 했다.

이번 접수 중단은 이런 단계적 조치 뒤에 나왔다. 앞선 변경이 증명 요건과 보상 대상을 조정하는 수준이었다면, 이번에는 새 제보를 받는 단계까지 멈췄다. 구글은 유효하지 않은 제보의 건수나 비율은 공개하지 않았다.

OSS VRP는 2022년 8월 시작됐다. 구글의 공개 오픈소스 프로젝트에서 공급망 침해로 이어질 취약점이나 제품 취약점을 낳는 설계 문제를 찾아 제보하면 보상하는 방식이었다. 보상액은 문제의 심각도와 프로젝트 중요도에 따라 달랐고, 출범 당시 범위는 100달러에서 31,337달러였다.

연구자는 어디로 제보하나

한국에서 구글 오픈소스 프로젝트를 들여다보는 연구자도 자신이 찾은 문제가 어느 창구에 해당하는지부터 따져야 한다. 공급망 관련 제보와 이미 제출한 제보는 그대로 유지되지만, 새 제품 취약점 제보는 받지 않는다. 클라우드 제품과 얽힌 문제라면 Cloud VRP가 받는 저장소와 취약점 범위에 들어가는지 확인하는 것이 다음 단계다.

구글은 2027년 1분기에 경과를 알리겠다고 밝혔다. 다시 제보를 받는 날짜는 발표하지 않았다. 결국 연구자가 지켜볼 대목은 두 가지다. 새 접수 방식이 어떤 증명을 요구할지, 제품 취약점 제보를 언제 다시 받을지다.