마이크로소프트가 올해 ‘제로 데이 퀘스트 2026’ 해킹 대회를 통해 알려진 클라우드·인공지능(AI) 분야 취약점 제보에 총 230만 달러의 포상금을 지급했다. 한화 약 34억 규모다. 이번 행사에서는 약 700건의 취약점 제보가 접수됐고, 이 가운데 레드먼드 본사에서 열린 라이브 해킹 이벤트에서는 80건이 넘는 고위험 취약점이 확인됐다.
마이크로소프트 보안대응센터(MSRC)의 톰 갤러거 엔지니어링 부사장은 이번 행사에 20개국 이상에서 다양한 배경의 보안 연구자들이 참여했다고 밝혔다. 참가자들은 고등학생부터 대학 교수까지 폭넓게 구성됐으며, 허가된 테스트 환경 안에서 고객 데이터나 다른 테넌트 시스템에 접근하지 않는 조건으로 취약점을 검증했다.
제로 데이 퀘스트 2026은 공개 연구 챌린지와 초청형 라이브 해킹 이벤트를 결합한 구조로 운영됐다. 라이브 해킹 이벤트는 2026년 2월 17일부터 3월 18일까지 진행됐으며, 마이크로소프트의 클라우드와 AI 서비스 보안을 집중 점검하는 방식으로 설계됐다.
마이크로소프트는 지난해 8월 이번 대회의 총 상금 규모를 500만 달러로 확대한다고 밝히며 이를 자사 역사상 가장 큰 규모의 해킹 행사라고 소개한 바 있다. 실제로 지난해 행사에서도 600건이 넘는 취약점 제보가 접수됐고, 이후 160만 달러 이상의 포상금이 지급됐다. 올해는 제보 건수와 지급 금액 모두 더 늘어나며 클라우드·AI 보안 영역에 대한 연구자들의 관심이 한층 커졌음을 보여줬다.
이번 프로그램은 마이크로소프트의 보안 체계 개편 작업인 ‘보안 미래 이니셔티브(Secure Future Initiative, SFI)’의 일환으로 진행됐다. 마이크로소프트는 SFI 원칙에 따라 기본값 보안, 설계 단계 보안, 운영 단계 보안을 강화하고, 중요한 취약점은 고객 조치 필요 여부와 관계없이 CVE 프로그램을 통해 투명하게 공개하겠다고 말했다.
마이크로소프트의 버그바운티 확대 흐름도 이어지고 있다. 회사는 2024년 7월부터 2025년 6월까지 59개국 344명의 보안 연구자에게 총 1,700만 달러(약 251억)를 지급했다고 밝혔고, 2024년 12월에는 자사 온라인 서비스에서 발견된 중대한 취약점이 제3자 코드에 있더라도 포상 대상에 포함하겠다는 방침도 내놨다. 이는 클라우드 서비스와 AI 플랫폼 전반의 공급망 위험까지 보상 체계 안으로 끌어들이겠다는 의미로 봐야 한다.
댓글
0