구글은 '대부분 유효하지 않은 자동화된 제출이 크게 늘어' 오픈소스 소프트웨어 취약점 보상 프로그램(OSS VRP)을 멈춘다고 밝혔고, 프로그램의 앞날은 2027년 1분기에 알리겠다고 했어요. 멈춘 것은 제품 취약점 신고뿐이에요. 10월 1일 전에 낸 신고는 계속 검토하고, 공급망 신고와 일부 구글 클라우드 저장소에 대한 클라우드 VRP 신고는 그대로 받아요. 같은 날 깃허브도 비공개 취약점 신고에 하루 횟수 제한을 걸었는데, 두 회사가 이를 서로 연결해 설명하지는 않았어요.
용어 풀이
- OSS VRP
- Open Source Software Vulnerability Reward Program. 구글 오픈소스 프로젝트의 취약점 신고에 보상금을 주는 프로그램
- 버그 바운티
- 취약점을 찾아 신고하면 보상금을 주는 제도
- 공급망 신고
- 빌드 파이프라인 침해·변조된 패키지처럼 소프트웨어 배포 과정의 문제를 신고하는 항목
운영자 인사이트
구글 오픈소스 프로젝트에서 찾은 제품 취약점은 지금 OSS VRP 로 보상을 받을 수 없으니, 공급망 문제인지 구글 클라우드 제품에 닿는 저장소인지부터 따져 맞는 창구로 내세요. 직접 관리하는 오픈소스에 AI 가 만든 신고가 몰린다면, 신고 양식에 개념 증명과 영향을 필수로 받는 방식으로 검증 부담을 미리 줄여 두는 게 좋아요.
여러 관점으로 보기
- 멈춘 범위와 예외 제품 취약점 신고만 멈췄고 10월 1일 전 신고·공급망 신고·일부 구글 클라우드 저장소의 클라우드 VRP 신고는 그대로이며, 참여자에게는 다른 VRP 를 살펴보라고 권했어요. Tom's Hardware (Yahoo Tech)
- 다른 프로젝트의 비슷한 조치 curl 은 AI 가 쓴 신고 때문에 버그 바운티를 끝냈고, 리눅스 네트워킹 관리자들도 AI 가 만든 패치와 신고에 시달린다고 했으며, 인텔 버그 바운티는 중단으로 표시돼 있다고 정리했어요. Hardware Busters