애플, AI가 생성한 '보안 보고서 홍수'에 취약점 포상금 프로그램 운영 규정 개정

애플이 생성형 AI 도구로 인해 무차별적으로 쏟아지는 저품질 보안 보고서(이른바 'AI 슬롭(AI Slop)')를 관리하는 데 큰 어려움을 겪고 있습니다. 이로 인해 오랜 기간 보안 생태계의 핵심 축 역할을 하던 버그 바운티(보안 취약점 신고 포상제) 프로그램의 신속성이 크게 저하되고 있으며, 애플은 결국 제출 제한 조치 등의 새로운 정책을 도입하기 시작했습니다.

생성형 AI 모델의 대중화로 보안 취약점 탐지 능력이 대폭 향상된 이면에는, 기술적 깊이가 없는 일반 사용자들이 AI를 활용해 가짜나 존재하지 않는 오류를 그럴싸하게 꾸며 대량으로 제보하는 부작용이 도사리고 있습니다. 이러한 허위 보안 보고서는 보안 담당자들이 일일이 수작업으로 검증해야 하므로 막대한 리소스 낭비를 초래하고 있습니다. 이에 따라 애플은 최근 연구원 한 명이 동시에 제출할 수 있는 취약점 신고 건수를 제한하고, 30일간의 냉각 기간(Cool-off period)을 거치도록 하는 등 방어 정책을 구체화했습니다.

이러한 운영 제한 정책은 실제 고급 취약점을 발굴하는 전문 보안 업체에도 영향을 미치고 있습니다. 일례로 이탈리아의 사이버 보안 기업 비나리오(Bynario)는 AI 도구를 정교하게 연동하여 macOS 내 권한 상승 취약점을 포함한 50개 이상의 실제 취약점을 발견했으나, 애플의 새로운 제출 제한 규정에 걸려 중요 취약점을 신고하지 못하는 병목 현상을 겪기도 했습니다. 이에 대해 애플은 중요 제보의 경우 한도 증액을 요청할 수 있는 별도의 예외 절차를 마련해 소통 중이라고 밝혔습니다.

보안 업계 전반에서는 생성형 AI 기술이 진짜 취약점을 더욱 빠르게 탐지하도록 돕는 강력한 무기인 동시에, 인프라 운영팀을 무력화할 수 있는 대량 소음(AI Slop)의 근원이 되는 양날의 검이라고 경고합니다. 애플 또한 밀려드는 보고서를 효율적으로 검증(Triage)하기 위해 내부적인 자동화 AI 검사 도구를 도입하고 있으며, 업계 전반의 취약점 포상금 운영 전략에 근본적인 패러다임 변화를 요구하고 있습니다.