Google은 2026년 10월 1일부터 Open Source Software Vulnerability Reward Program의 새로운 제품 취약점 신고를 받지 않는다. 자동 제출이 크게 늘었고 대다수가 유효하지 않았다는 설명이다. 다음 업데이트는 2027년 1분기로 예상한다.
한 접수 범주의 일시 중단이지 Google 전체 보상 제도 폐쇄나 AI 보조 연구 금지가 아니다. 더 구체적인 실패를 보여준다. 그럴듯한 보안 주장은 저렴하게 만들지만 실제 성립 여부는 여전히 부족한 전문가가 판단해야 한다.
닫힌 경로와 남은 경로
Google은 2022년 적격 오픈소스 보안 문제를 위한 OSS VRP를 시작했다. 제품 취약점은 코드, 논리와 설계의 결함이다. 10월 중단은 이 범주의 신규 신고에 적용되며 이전 제출은 계속 검토 대상이다.
공급망 신고는 열려 있다. 일부 Google Cloud 저장소 문제는 제품과 규칙에 따라 Cloud VRP에 해당할 수 있다. Chrome, Android, 기기와 AI 보안 등 다른 제도도 계속된다. 연구자는 모든 저장소에 같은 대체 경로가 있다고 가정하지 말고 범위를 확인해야 한다.
중단 전에도 규칙이 바뀌었다. 2026년 규칙은 AI 보조 발견을 검증하고 실제 보안 영향을 입증하도록 했다. 4월에는 일부 낮은 등급 제품 취약점과 다른 문제의 금전 보상·공개 인정을 없앴다. 더 좁은 유인과 증거 조정으로도 이후 중단을 막지는 못했다.
Google은 해당 경로의 정확한 제출량, 채택률이나 적체를 공개하지 않았다. 2차 보도는 수천 건의 약한 보고서를 언급했지만 공식 공지의 숫자는 아니다. “대다수 무효”는 심각한 문제를 뜻하되 완전한 통계 기준은 제공하지 않는다.
대체 제도도 공개적으로 확정되지 않았다. 테스트한 재현, 제출 한도, 신원 요구와 자동 선별은 가능한 대책이지 발표된 재개 조건이 아니다.
설득력 있는 보고서에도 취약점이 없을 수 있다
모델은 의심스러운 연산을 찾고 공격 이야기를 쓰며 전문적인 심각도 평가를 붙일 수 있다. 그러나 그 연산에 공격자 입력이 도달하지 않거나 경로가 실행 불가능하고 이미 방어돼 있을 수 있다. 실제 프로그래밍 오류도 프로젝트의 위협 모델에서는 보안 결과가 없을 수 있다.
검토자는 조건을 다시 구성한다. 버전을 조사하고 동작을 재현하며 보호와 중복을 확인한다. 그럴듯한 설명 속에 존재하지 않는 함수나 발생 조건이 숨어 있을 수 있다. 형식이 잘 갖춰졌다고 연구 증거가 되는 것은 아니다.
Open Source Security Foundation의 Christopher Robinson은 3월 보도에서 과거 주당 두세 건을 받던 프로젝트가 한 번에 수백 건을 받기도 한다고 추정했다. 한 건 조사에 예상 밖의 유지관리 시간 2~8시간이 필요할 수 있다는 설명이다. 여러 프로젝트에 대한 인용 관찰이지 Google 대기열 측정치가 아니다.
금전 유인은 비대칭을 키울 수 있다. 제출자는 많은 가설을 만들고 수신 프로젝트가 검증 비용 대부분을 낸다. 중복, 과장된 심각도와 문서화된 동작의 오해가 진짜 발견과 경쟁한다. 선의의 대량 제출도 수정 시간을 밀어낼 수 있다.
핵심은 글에 모델을 썼는지가 아니다. 번역, 설명과 테스트 생성은 정당한 연구를 개선할 수 있다. 사람은 도달 가능한 경로를 이해하고 재현하며 후속 질문에 답해야 한다. 시험하지 않은 AI 가설을 사람 문체로 바꿔도 검증되는 것은 아니다.
검증된 AI 연구는 일괄 거부가 틀렸음을 보여준다
Google은 OSS-Fuzz, Big Sleep, CodeMender 같은 AI 보조 방어를 계속 개발한다. 내부 팀은 대상을 정의하고 실행 증거를 수집하며 패치를 검사할 수 있다. 외부 제도는 다양한 도구와 환경에서 같은 통제 과정 없이 보고를 받는다.
전체 보상도 상당하다. 연례 회고에 따르면 Google은 2025년 700명 이상에게 1,700만 달러 넘게 지급해 2024년보다 40% 이상 늘렸다. 더 넓은 제도의 합계이지 중단 범주의 예산이나 생산성이 아니다.
보도는 다른 대조도 제시한다. Anthropic은 Claude Opus 4.6이 알려지지 않은 오픈소스 취약점 500개 이상을 발견했으며 공개 전에 모두 사람이나 외부 전문가가 검증했다고 밝혔다. Mozilla는 2주간 보고서 112건을 받고 보안 권고 22개를 발표했으며 14개가 고위험이었다. 나머지 발견 상당수는 보안 문제가 아닌 버그로 분류됐다.
보고서, 권고와 검증 취약점은 다른 단위다. 이 사례는 기계 발견과 전문가 검증을 결합한 절차를 지지하지 모든 모델 보고서의 신뢰성을 보장하지 않는다.
자동 분류는 중복을 묶고 빠진 증거를 요구할 수 있으나 그 자체로 틀린다. 모델 둘의 동의는 독립 재현 테스트보다 약한 증거다. 특이한 발견과 이견에는 사람에게 넘기는 경로가 필요하다.
curl·Linux·HackerOne은 서로 다른 인계를 바꿨다
curl은 2019년 시작한 금전 보상을 2026년 1월 31일 종료했다. Daniel Stenberg는 전체 기간 확인된 취약점이 87개라고 밝혔다. 그러나 제출 중 확인 비율은 과거 15% 초과에서 2025년 5% 미만으로 떨어졌다.
그는 AI 잡음, 다른 보고의 품질 하락과 보상에 대한 과도한 집중을 함께 지적했다. 지급 종료가 책임 있는 신고 종료는 아니었다. 비공개 GitHub와 이메일은 남았다. 유인을 바꾸는 대응이지만 성실한 독립 연구자도 의욕을 잃을 위험을 감수한다.
Linux는 비슷한 도구를 쓰는 여러 사람에게서 같은 문제를 반복해서 받았다. 비공개 처리는 다른 연구자가 기존 논의와 수정을 보지 못하게 해 유지관리자의 재검토를 늘렸다. Torvalds는 진짜 비밀이 필요한 경우가 아니면 쉽게 재발견할 여러 문제를 공개 프로젝트 경로로 보내자고 주장했다.
미패치 공격을 모두 공개하라는 뜻은 아니다. 커널 규칙은 간결한 설명, 영향 버전, 발생 조건, 테스트한 재현과 현실적 영향을 강조한다. 제출자는 코드를 이해하고 담당 관리자에게 연락하며 가능하면 패치를 제공해야 한다.
HackerOne은 더 강력한 AI 도구가 나온 2026년 2월 이후 업계 보고량이 100% 넘게 증가했다고 밝혔다. 분석에는 유용한 발견과 중복·검증 불가능한 주장도 있다. 플랫폼은 재현 증거, 정확한 심각도와 기존 방어 고려를 요구하며 큰 미검증 묶음은 제재로 이어질 수 있다. 플랫폼 관찰이지 Google의 무효 비율이 아니다.
대응은 다르다. Google은 범주를 중단하고 curl은 금전을 제거하며 Linux는 기대와 경로를 바꿨다. 공통 한계는 전문가 시간이며 상용 제품의 의존성을 자원봉사자가 관리할 때 특히 무겁다.
재개에는 증거와 신규 연구자의 길이 모두 필요하다
엄격한 문턱은 검토자를 보호하지만 진짜 결함을 숨길 수 있다. 평판은 기존 연구자에게 유리하고 보증금이나 불투명한 초대는 초보자를 제외한다. 최소한의 통제된 재현으로 충분한데 완전한 공격을 요구하면 위험한 실험을 부추길 수도 있다.
좋은 자료는 커밋, 환경, 공격자의 통제, 입력과 넘은 보안 경계를 밝힌다. 실제 테스트를 기록하고 추론과 관찰을 구분하며 미수정 비밀을 보호한다. 피해를 일으키거나 민감한 코드를 승인되지 않은 외부 모델에 보내도록 요구해서는 안 된다.
필터는 증거 부족을 거부해야지 AI 문체를 무효의 증거로 삼아서는 안 된다. 글쓰기만으로 취약점의 진위를 판정할 신뢰할 만한 시험은 없다. 특이한 연쇄는 간단한 양식에 맞지 않으므로 이의 제기와 전문가 경로가 중요하다.
다음 업데이트는 Google이 명확한 증거 기준으로 재개할지 참가자를 줄일지 보여줄 것이다. 유용한 결과는 확인·중복 비율, 검토·수정 시간, 업무량과 잘못된 거부이지 제출 감소만이 아니다. Mozilla가 이전에 무효 보고 거부율이 안정적이라고 했듯 경험은 다르며 Google이 전체 생태계를 대표하지 않는다.
건설적 경계는 발견의 규모와 제출의 규모를 분리한다. 에이전트는 넓게 탐색하되 사람에게는 검증·중복 제거된 결과와 책임자를 전달해야 한다. 중단은 AI가 버그를 찾지 못한다는 판결이 아니다. 무제한 가설도 누군가 입증해야 보안 가치가 된다는 증거다.
출처
Google OSS 규칙 · 유지관리자 업무량 보도 · 허위 보고 조사 · Mozilla 검증 결과 · curl 보상 종료 · 엔지니어링 지식 기반 · Google 중단 보도 · Google 이전 규칙 변경 · Google 2025 보상 통계 · HackerOne 보고량 분석 · Linux 보안 신고 규칙 · TechCrunch의 Google 중단 보도 · Techmeme의 Google 중단 보도