Google, AI 자동 제출 급증에 open source bug bounty 프로그램 중단… 무효·환각 보고서로 유지관리자 부담 가중

Google은 AI 자동화 제출이 크게 늘었다며 Open Source Software Vulnerability Rewards Program을 10월 1일부터 중단하고, 2027년 1분기에 추가 업데이트를 제공하겠다고 밝혔습니다. 회사는 접수된 보고서의 대다수가 유효하지 않거나 환각 내용을 포함해 엔지니어와 open source 유지관리자에게 과도한 검토 부담을 주고 있다고 설명했습니다.

이번 조치는 LLM이 보안 연구의 생산성을 높이는 동시에, 검증되지 않은 취약점 보고서를 대량으로 만들어 bug bounty 운영 비용을 키우는 부작용을 보여줍니다. 주요 플랫폼들은 앞으로 취약점 검증 절차, 제출자 신뢰도 평가, 재현 가능한 proof-of-concept 요구사항을 강화하는 방향으로 프로그램을 재설계할 가능성이 큽니다.