구글, 오픈소스 버그바운티 신규 접수 중단

구글이 오픈소스 버그바운티 프로그램인 OSS VRP(Open Source Software Vulnerability Reward Program)에서 신규 제품 취약점 접수를 중단했습니다. 중단은 2026년 10월 1일부터 적용됩니다. 이유는 자동 생성된 제보가 급증했는데 대부분이 유효하지 않았기 때문입니다. 구글은 "이번 중단은 자동 제출이 크게 늘었고 그 대다수가 유효하지 않기 때문"이라고 밝혔습니다.

모든 접수가 막힌 것은 아닙니다. 공급망(supply chain) 관련 제보는 계속 받고, 10월 1일 이전에 접수된 제품 취약점 제보와 처리 중인 건도 그대로 진행합니다. 일부 구글 클라우드 제품에 영향을 주는 저장소는 Cloud VRP로 제보할 수 있고, 선제적 수정에 보상을 주는 Patch Rewards Program 참여도 권장했습니다. 프로그램 재개나 개편 방향은 2027년 1분기에 다시 안내하겠다고 했습니다.

OSS VRP는 2022년에 시작한 프로그램입니다. Go, Angular, Protocol Buffers 등 구글이 공개한 오픈소스의 결함을 찾아 비공개로 제보한 연구자에게 보상을 지급해 왔습니다. 그런 프로그램이 접수를 멈춘 것이라 의미가 있습니다.

운영자 입장에서 눈여겨볼 대목은 제보 품질 문제입니다. LLM 기반 도구로 취약점 리포트를 대량 생성하기는 쉬워졌지만, 환각이나 잘못된 전제에 기반한 제보라도 사람이 하나하나 검증해야 합니다. 검증 인력과 메인테이너가 여기에 묶이면 정작 진짜 취약점 대응이 늦어집니다. 다른 오픈소스 프로젝트와 보안 제보 창구도 비슷한 압력을 받을 것으로 보입니다.

🔗 https://www.helpnetsecurity.com/2026/10/05/google-ai-generated-vulnerability-reports-pause/