요약:
Google은 OSS VRP(오픈소스 소프트웨어 취약점 보상 프로그램)에서 제품 취약점 제출 채널을 중단했다고 발표했습니다. 그 이유는 인공지능에 의해 생성된 유효하지 않은 취약점 보고서가 계속해서 대량으로 쏟아져 검토를 담당하는 엔지니어와 오픈소스 유지관리자에게 큰 부담이 되기 때문입니다. 구글이 10월 1일 발표한 공지에 따르면 이번 정지가 공식적으로 발효됐으며, 회사는 관련 메커니즘을 재조정한 뒤 2027년 1분기에 추가 업데이트를 제공할 것으로 기대하고 있다.
OSS VRP는 독립적인 연구자들이 보안 취약점을 발견하고 책임감 있게 공개하도록 장려하기 위해 Google이 오픈소스 생태계를 위해 설립한 보안 보상 프로그램입니다. 이 프로젝트에서 제품 취약성 카테고리는 주로 Google 공개 코드 저장소의 코드 결함, 논리 오류, 설계 취약성 및 기타 문제를 다룹니다.
Google은 이번 정지가 제품 취약점 제출 카테고리에만 적용되며 10월 1일 이전에 제출된 보고서에는 영향을 미치지 않는다고 밝혔습니다. 동시에 OSS VRP의 공급망 보안 보고서는 계속 제출을 허용합니다. Google Cloud 제품에 영향을 미치는 일부 코드 웨어하우스 취약점의 경우 회사는 Cloud VRP 채널을 통해 관련 보고서를 계속 받을 수 있습니다.
기존 취약점 연구에서는 연구자들이 코드 분석, 문제 확인, 완전한 기술 보고서 작성에 많은 시간을 투자해야 하는 경우가 많습니다. 그러나 대규모 언어 모델과 자동화된 취약점 마이닝 도구의 급속한 인기로 인해 취약점 보고서 생성 임계값이 크게 낮아졌습니다. 점점 더 많은 사용자가 AI를 사용하여 코드를 자동으로 스캔하고 일괄적으로 취약점 제출을 생성하기 시작했습니다.
문제는 이러한 보고서 중 상당수가 실제 가치가 없다는 것입니다. 많은 보고서에서 보안 결함을 발견했다고 주장하지만, 수동 검토 후에는 이것이 모델 "환상"이거나 악용할 수 있는 취약점이 전혀 없는 것으로 밝혀졌습니다. 모든 보고서는 여전히 보안팀에서 하나씩 확인해야 하기 때문에 실제 중요한 보안 문제를 처리하는 대신 잘못된 정보를 확인하는 데 많은 시간이 소요됩니다.
업계 관계자들은 이런 현상이 오픈소스 커뮤니티와 보안 업계에서 점차 확산되고 있다고 지적했다. 전문적인 기술 분석을 빠르게 생성할 수 있는 생성적 AI 도구를 통해 버그 포상금 프로그램은 전례 없는 심사 압력에 직면해 있습니다. 원래 수동 전문 지식에 의존했던 취약점 연구 작업은 이제 품질이 낮은 자동 제출로 인해 희석되었습니다.
Google 엔지니어와 오픈소스 프로젝트 관리자는 수천 건의 유효하지 않은 보고서로 인해 어려움을 겪고 있다고 합니다. 일부 보고서는 체계적으로 구성되어 자세히 설명되어 있지만 검증 결과 실제 취약점은 존재하지 않는 것으로 나타났습니다. 유지 관리 팀은 이러한 오류 메시지를 해결하기 위해 많은 노력을 기울여야 하며, 이로 인해 실제 보안 문제가 지연됩니다.
사실 비슷한 상황이 발생한 것은 이번이 처음이 아닙니다. Linux 커뮤니티는 이전에도 AI가 생성한 허위 취약점 보고서로 인해 압박을 받은 적이 있습니다. 일부 유지관리자는 실제 결함을 수정하는 대신 존재하지 않는 문제를 처리하는 데 점점 더 많은 시간을 소비해야 한다고 공개적으로 밝혔습니다. 그 결과 일부 프로젝트에서는 관련 워크플로를 조정하기도 했습니다.
보안 연구 분야에 종사하는 사람들은 이번 사건이 생성 AI가 가져온 새로운 과제를 반영한다고 믿습니다. 인공 지능은 실제로 연구자들이 잠재적인 문제를 식별하는 데 도움이 될 수 있지만, 대규모 자동 보고는 적절한 검증 메커니즘 없이 보안 생태계에 부담을 줄 수도 있습니다.
Google은 관련 검토 및 제출 프로세스가 재설계되는 동안 연구원들이 다른 버그 포상금 프로그램에 계속 참여할 수 있다고 밝혔습니다. 회사는 향후 관련 프로그램의 정상적인 운영을 재개하기 위해 새로운 메커니즘을 통해 AI 지원 연구와 보고 품질 간의 관계 균형을 유지하기를 희망합니다.
댓글