애플은 인공지능으로 구동되는 자동화 도구가 쏟아내는 취약점 보고서의 증가로 인해 점점 더 큰 도전에 직면하고 있다. 이 AI 생성 제출물의 유입은 시스템에 부담을 주어 실제 보안 결함이 노이즈에 묻힐 수 있다는 우려를 낳고 있다.
AI 버그 헌터 붐
보안 연구원들은 오랫동안 자동화된 스캐너를 사용해 버그를 찾아왔지만, 최근 AI의 발전은 이 과정을 크게 가속화했다. 하루에 수천 건의 잠재적 취약점 보고서를 생성할 수 있는 도구가 이제 일반화되었으며, 이러한 보고서 중 상당수가 애플의 바운티 플랫폼에 제출되고 있다. 보안 구멍을 발견하고 책임감 있게 공개한 연구원에게 보상을 지급하는 애플은 이제 그 양을 따라잡는 데 어려움을 겪고 있다.
2016년에 시작되어 수년에 걸쳐 확장된 애플의 버그 바운티 프로그램은 수백 달러에서 핵심 결함의 경우 백만 달러 이상까지 보상을 제공한다. 그러나 이 프로그램은 수동으로 취약점을 탐색하는 인간 연구원을 위해 설계되었지, 큐를 저품질 또는 오탐(false positive)으로 넘치게 할 수 있는 자동화 시스템을 위한 것이 아니다.
바운티 시스템에 가해지는 부담
AI 생성 보고서의 엄청난 수는 병목 현상을 만들고 있다. 애플의 보안 팀은 각 제출물을 분류하고, 유효성을 검증하며, 심각도를 결정해야 한다. 양이 증가함에 따라 비효율성의 위험도 커진다. 정당한 취약점이 검토되는 데 더 오래 걸릴 수 있고, 분석가들이 산더미 같은 자동 출력물을 분류하는 동안 일부는 완전히 놓칠 수도 있다.
이것은 단지 이론적인 우려만이 아니다. 대규모 버그 바운티 프로그램을 운영하는 다른 기업들도 이미 유사한 문제를 보고했다. 문제는 AI 도구가 그럴듯해 보이지만 실제로는 중복되거나, 관련이 없거나, 심지어 악의적인 보고서를 생성할 수 있다는 점이다. 알곡과 쭉정이를 가려내는 데는 인간의 전문성이 필요하며, 그 전문성은 한정된 자원이다.
실제 수정 지연 위험
AI 생성 보고서의 홍수가 계속 unchecked 상태로 진행되면, 실제 위협에 대응하는 애플의 능력이 손상될 수 있다. 애플은 분류에 더 많은 자원을 할당해야 할 수도 있으며, 잠재적으로 패치 개발에서 엔지니어를 돌려야 할 수도 있다. 최악의 경우, 팀이 자동화된 노이즈에 묻혀 있는 동안 중요한 취약점이 처리되지 않은 채 남을 수 있다.
애플은 이 문제를 어떻게 해결할 계획인지 공개적으로 밝히지 않았다. 회사는 더 엄격한 제출 지침을 도입하거나, 개념 증명(proof of concept)을 요구하거나, 자체 AI를 사용하여 저품질 보고서를 걸러낼 수 있다. 그러나 어떤 변경도 바운티 프로그램에 의존하여 수입을 얻는 정당한 연구원들을 소외시킬 위험이 있다.
더 넓은 보안 커뮤니티는 주의 깊게 지켜보고 있다. AI 기반 버그 사냥이 더 보편화됨에 따라 업계 전체가 취약점 공개 프로그램의 운영 방식을 재고해야 할 수도 있다. 현재로서는 애플의 바운티 프로그램이 보안 전략의 핵심 부분으로 남아 있지만, 압박은 커지고 있다.
애플은 AI 생성 제출물을 걸러내기 위해 바운티 규칙을 조정할 계획이 있는지 밝히지 않았다.
