구글이 지난해 취약점 보상 프로그램(VRP)을 통해 역대 최대 규모의 보상금을 지급하며 인공지능(AI)과 소프트웨어 공급망을 중심으로 변화하고 있는 보안 위협 대응에 적극 대응한 것으로 나타났다.
구글은 2025년 한 해 동안 전 세계 700명 이상의 보안 연구자에게 총 1700만달러(약 230억원) 이상의 보상금을 지급했다고 지난달 11일 자사 버그헌터스(bughunters.google.com) 블로그를 통해 밝혔다. 이는 전년 대비 40% 이상 증가한 수치다.
구글이 2025년 747명의 보안 연구자들에게 1710만 달러 이상의 보상금을 지급했다. / 구글 버그헌터스 블로그 갈무리
2025년 가장 큰 보상액을 받은 연구자는 한 번에 25만 달러를 받았으며, 총 747명의 보안 연구자들에게 보상금이 지급됐다. 또한 2010년부터 지급된 누적 보상액은 8160만 달러(약 1230억원)에 달한다. / 구글 버그헌터스 블로그 갈무리
보안 업계는 이 같은 결과가 최근의 보안 위협 양상이 구조적으로 변화하고 있음을 보여주는 것이라고 분석한다. 기존에는 메모리 손상과 같은 전통적 취약점이 주요 공격 경로였지만, 최근에는 시스템 설계나 동작 방식을 노리는 ‘논리 취약점’ 비중이 확대되는 흐름이기 때문이다.
여기에 AI 확산에 따라 새로운 보안 영역이 빠르게 형성되고 있다는 점도 주목된다. 이에 구글도 2025년 AI 전용 VRP를 신설하고 프롬프트 인젝션(Prompt Injection), 데이터 유출, 비정상 동작 등 AI 특화 취약점 대응을 강화했다. 지난해 AI 관련 보상 규모는 약 89만달러(약 12억원)에 달했다.
소프트웨어 공급망 공격 대응도 주요 과제로 부상했다. 오픈소스 생태계를 겨냥한 취약점이 실제 발견되면서, 구글은 깃허브(GitHub) 워크플로우 보안 강화와 취약점 탐지 도구 개선 등을 포함하는 구조적 대응에 나섰다.
분야별로는 크롬이 약 371만달러(약 50억원), 클라우드가 약 357만달러(약 48억원), 안드로이드 및 모바일 디바이스 분야가 약 290만달러(약 39억원)의 보상금을 지급하며 주요 플랫폼 전반에서 취약점 대응이 이뤄졌다.
구글 측은 “단순 취약점 수정에서 나아가 제품 구조 자체를 개선하는 방향으로 보안 전략을 전환하고 있다”고 설명했다. 일부 취약점은 실제 서비스 아키텍처 변경으로 이어지기도 했다.
업계는 이를 두고 AI 확산과 함께 보안 위협이 기존 소프트웨어를 넘어 인프라와 생태계 전반으로 확장되는 흐름으로 해석하고 있다.
댓글
0