breakinglog
구글이 2026년 10월 1일부터 Open Source Software Vulnerability Reward Program(OSS VRP)의 신규 ‘제품 취약점’ 신고 접수를 일시 중단했습니다. 이유는 자동화된 신고가 크게 늘었고, 구글 설명으로는 그 대부분이 유효하지 않았기 때문입니다.
중요한 점은 구글의 버그바운티 전체가 중단된 것이 아니라는 것입니다. 10월 1일 전에 제출된 기존 신고는 계속 처리되고, OSS VRP의 공급망 취약점 신고도 그대로 받습니다. 일부 Google Cloud 저장소에서 Cloud 제품에 직접 영향을 주는 문제는 별도의 Cloud VRP를 통해 신고가 가능할 수 있습니다.
10월 1일부터 멈춘 것은 ‘신규 제품 취약점’ 신고입니다
Google VRP 공식 계정의 10월 1일 공지에 따르면 이번 조치는 임시 중단입니다. 구글은 자동화된 제출이 크게 증가했고 “대부분이 유효하지 않았다”고 설명하면서, OSS VRP의 이 부분을 다시 설계하고 2027년 1분기에 업데이트를 제공하겠다고 밝혔습니다.
Help Net Security의 10월 5일 확인에서도 현재 OSS VRP 규칙 페이지가 10월 1일부터 제품 취약점 제출을 받지 않는다고 안내하는 것으로 확인됩니다. 이 매체는 Go, Angular, Protocol Buffers 같은 구글 오픈소스 프로젝트를 예로 들며, 이번 변경이 오픈소스 보안 연구자의 실제 신고 경로에 직접 영향을 준다고 설명했습니다.
| 신고 종류 | 현재 상태 | 연구자가 확인할 경로 |
|---|---|---|
| 10월 1일 이후 신규 제품 취약점 | OSS VRP 접수 일시 중단 | 다른 Google VRP 또는 Patch Rewards Program 검토 |
| 10월 1일 이전 기존 제품 취약점 신고 | 영향 없음 | 기존 신고 처리 계속 |
| OSS 공급망 취약점 | 계속 접수 | OSS VRP |
| 일부 Google Cloud 저장소의 Cloud 제품 영향 취약점 | 일부 접수 가능 | Cloud VRP 조건 확인 |
구글은 이미 3월부터 AI 생성 저품질 신고를 문제 삼았습니다
이번 조치는 갑자기 나온 첫 대응은 아닙니다. 구글은 3월 19일 OSS VRP 규칙 개편에서 이미 AI 생성 보고서가 잘못된 트리거 조건을 설명하거나, 코드 오류를 찾았더라도 실제 보안 영향이 거의 없는 사례가 급증했다고 밝혔습니다.
당시 구글은 OT0와 OT1 같은 중요 프로젝트의 일부 메모리 손상 신고에 OSS-Fuzz 재현 절차나 병합된 패치를 요구하고, OT2와 OT3 프로젝트의 제품 취약점 보상을 없애는 방식으로 품질 기준을 높였습니다. 그런데 이번에는 그보다 한 단계 더 나아가 신규 제품 취약점 접수 자체를 잠시 멈춘 것입니다.
‘AI로 찾은 취약점은 신고 금지’라는 뜻은 아닙니다
이번 공지는 AI 도구를 사용한 보안 연구 전체를 금지하는 발표가 아닙니다. 구글의 3월 공식 설명도 AI를 보안 연구에 유용한 도구로 인정하면서, AI가 만든 결과를 연구자가 검증하지 않은 채 제출하는 문제를 지적했습니다.
따라서 보안 연구자에게 달라진 핵심은 “AI를 쓰면 안 된다”가 아니라 현재 OSS VRP의 제품 취약점 접수 창구가 닫혔고, 다른 경로를 먼저 확인해야 한다는 점입니다. 특히 자동 스캐너나 에이전트가 생성한 보고서를 대량 제출하는 방식은 이제 접수 단계부터 막힐 가능성이 커졌습니다.
지금 신고하려면 대상과 날짜를 먼저 구분해야 합니다
10월 1일 전에 이미 제출한 신고라면 이번 중단 때문에 다시 제출할 필요가 없습니다. 새로 찾은 문제가 공급망 취약점이라면 OSS VRP가 계속 열려 있고, Google Cloud 저장소가 실제 Cloud 제품에 영향을 주는 경우에는 Cloud VRP 조건을 확인할 수 있습니다. 그 밖의 제품 취약점은 구글이 안내한 다른 VRP나 Patch Rewards Program이 대안입니다.
또 하나 구분할 부분은 2027년 1분기는 재개 날짜가 아니라 ‘업데이트를 제공하겠다’고 약속한 시점이라는 점입니다. 구글은 그때 제품 취약점 접수를 반드시 재개한다고 확정하지 않았습니다. 연구자는 제출 직전 Google Bug Hunters의 현재 규칙을 다시 확인하는 편이 안전합니다.
자동화가 취약점 발견 비용을 낮춘 만큼, 검증 비용이 새 병목이 됐습니다
Tom’s Hardware와 Help Net Security는 이번 중단을 AI와 자동화 도구가 신고 비용을 급격히 낮춘 뒤, 사람이 보고서를 검증해야 하는 부담이 커진 사례로 설명했습니다.
이번 변경은 AI 보안 연구가 사라진다는 의미와는 반대에 가깝습니다. 자동화로 후보를 많이 찾는 것보다 실제로 재현되고, 실제 공격 경로가 있으며, 실제 보안 영향을 입증한 신고를 어떻게 선별할 것인지가 더 중요한 단계로 이동하고 있다는 신호입니다.
