Google, AI 제출 급증으로 오픈소스 버그 바운티 중단

무슨 일이 있었나

Google이 오픈소스 소프트웨어를 대상으로 한 버그 바운티(취약점 신고 보상) 프로그램을 중단했습니다. AI로 생성된 취약점 제출이 크게 늘어나면서 사람이 직접 신고 내용을 분류하고 검토하는 트리아지 팀이 처리 능력의 한계에 부딪힌 것이 직접적인 원인으로 전해졌습니다. 재개 시점은 아직 공개되지 않았습니다.

TechCrunch의 보도에 따르면 이번 결정의 핵심은 보상 규모나 참여자 수가 아니라 검토 인력의 처리 용량에 있습니다. 신고 건수가 급증하면서 유효한 취약점을 찾아내는 데 드는 시간과 비용이 함께 늘어난 구조입니다. 현재로서는 프로그램이 언제, 어떤 형태로 돌아올지에 대한 안내가 없는 상태입니다.

왜 중요한가

이번 사례는 AI가 조직의 운영 방식을 어떻게 바꾸고 있는지를 보여주는 구체적인 신호입니다. 생성형 AI는 그럴듯한 보고서를 거의 비용 없이 대량으로 만들 수 있지만, 그 진위를 가려내는 작업은 여전히 사람의 몫입니다. 결과적으로 입력 단계의 비용은 낮아지고 검증 단계의 비용은 높아지는 불균형이 생깁니다.

이 원리는 보안 분야에만 해당하지 않습니다. 고객 불만 접수, 서비스 요청, 보험금 청구, 공공 민원처럼 누구나 쉽게 제출할 수 있는 디지털 접점을 운영하는 기관이라면 같은 압박에 직면할 수 있습니다. 디지털 전환을 추진하면서 접수 채널을 열어두는 것만으로는 충분하지 않으며, 처리 역량과 채널 설계를 함께 고민해야 한다는 의미로 읽힙니다.

Renascence의 시각

대부분의 독자는 이 사안을 AI가 만들어낸 문제로만 볼 가능성이 큽니다. 그러나 핵심 병목은 생성 도구가 아니라 접수 설계에 있습니다. 제출 비용이 0에 가까우면 품질과 무관하게 물량은 반드시 폭증합니다.

문제의 본질은 AI가 너무 많은 신고를 만들었다는 데 있지 않고, 제출 행위에 마찰이 전혀 없다는 데 있습니다. 행동경제학의 관점에서 보면 요청하는 쪽의 비용과 응답하는 쪽의 비용이 균형을 이뤄야 시스템이 유지됩니다. 고객 중심 조직이라면 지금 당장 접수 채널을 점검하고, 재현 자료나 구조화된 양식 같은 최소한의 검증 단계를 입구에 추가하는 것부터 시작해야 합니다. 검토 인력을 늘리는 것은 대개 가장 늦고 가장 비싼 해법입니다.