2026년 상반기 연구자 보상금 전년 대비 26% 증가…일상적 취약점 보상은 하락 가능성
핵심 요약
- 해커원 CEO 카라 스프레이그는 AI가 취약점을 빠르게 찾아도 사업상 영향 판단에는 인간이 강점을 지닌다고 말했다. 보고서 제출 증가에 따른 검토 부담과 수정 지연 문제도 짚었다.
인공지능(AI)이 몇 분 만에 취약점을 찾아내는 시대에도 사업 절차의 허점과 취약점의 영향을 판단하는 데는 인간 해커가 강점을 지닌다고 카라 스프레이그 해커원(HackerOne) 최고경영자(CEO)가 말했다. 스프레이그 CEO는 11월 3일 헬프넷시큐리티(Help Net Security) 인터뷰에서 AI가 보안 연구자의 역할과 버그 바운티 보상 구조에 미치는 변화를 설명했다.
스프레이그 CEO는 “자동화하기 가장 어려운 작업으로는 비즈니스 로직을 먼저 꼽고, 취약점을 연결해 공격하는 작업을 그다음으로 꼽겠다”며 “AI는 익숙한 유형의 버그를 대규모로 찾는 데 능숙하다. 사업 운영 방식에 따라 약점이 생기는 경우에는 신뢰도가 떨어진다”고 말했다. 악용할 수 있는 환불 절차, 우회할 수 있는 승인 과정, 각각은 무해해 보이지만 결합하면 계정 탈취로 이어지는 동작 등이 여기에 해당한다.
그는 “코드만으로는 환불에 왜 승인이 필요한지, 누가 결제를 승인할 수 있어야 하는지, 언제 예외가 악용 기회를 만드는지 알 수 없을 수 있다. 모델은 이런 상황을 시험하는 데 도움을 줄 수 있지만 누군가는 관련 맥락을 제공해야 한다”고 설명했다. 취약점 연결 공격에서는 모델의 능력이 개선되고 있지만, 비즈니스 로직을 파악하려면 시스템이 허용하도록 설계된 행동을 이해해야 한다는 지적이다.
인터뷰에서 인용한 ‘2026 해커원 보안 연구 보고서’에서 연구자 응답자의 85%는 AI 역량을 적극적으로 키우고 있다고 답했다. 68%는 AI의 영향으로 더 복잡하고 보상금이 높은 버그에 집중하게 됐다고 했으며, 72%는 비즈니스 로직 결함을 가장 빠르게 늘어나는 취약점 유형으로 꼽았다. 다만 스프레이그 CEO는 “이 근거는 시사점을 줄 뿐 결정적이지는 않다. 연구자들이 어디에서 기회를 찾는지는 보여주지만, 인간이 모델보다 얼마나 오래 우위를 유지할지는 입증하지 않는다”고 말했다.
AI는 다양한 연구자의 관점으로 취약점을 찾는 집단 참여 모델에도 변화를 가져오고 있다. 스프레이그 CEO는 “AI는 집단 참여 모델을 강화하지만 일상적인 발견의 가치는 낮춘다”고 말했다. 그는 “사람마다 기술과 시스템 공격 방식에 대한 생각이 다르다. 모델을 더한다고 반드시 같은 수준의 다양성이 생기는 것은 아니다. 특히 비슷한 데이터로 학습하고 같은 대상을 조사하도록 요청받는 경우에는 그렇다”고 덧붙였다.
연구자 보상금은 2026년 상반기에 전년 동기보다 26% 늘었고, 3분기에는 증가세가 더 빨라졌다고 스프레이그 CEO는 전했다. 보고서에 따르면 AI 자산을 조사 대상에 포함한 프로그램 수는 2년 사이 두 배가 됐고, 유효한 AI 취약점 보고는 222% 증가했다. 스프레이그 CEO는 “연구자들이 AI를 활용해도 유효한 발견에 보상하는 방식은 여전히 작동한다”고 말했다.
반면 반복적인 패턴으로 찾을 수 있는 중간 심각도 취약점의 보상은 낮아질 수 있다. 스프레이그 CEO는 “일상적인 중간 심각도 버그의 보상은 줄어들 가능성이 크다. 더 깊은 조사와 판단이 필요한 발견은 가치를 유지하거나 더 높은 보상을 받을 수 있다”고 말했다. 그는 “AI로 익숙한 유형의 버그를 찾는 비용이 낮아지면 프로그램이 같은 보상금을 제시할 유인은 줄어든다. 연구자들은 먼저 제출하기 위한 경쟁도 더 치열하게 벌인다. 공지된 보상액이 그대로여도 보상을 받을 가능성은 낮아진다”고 설명했다.
버그 바운티 플랫폼에서는 2025년 1월 이후 제출 건수가 2.8배로 늘어난 반면, 유효한 보고는 1.9배로 증가했다. 프로그램들은 치명적이거나 새로운 발견에는 더 많은 보상을 지급하지만, 심각도가 낮은 문제와 중복 보고, 자동화로 찾을 수 있는 문제에는 보상을 줄이거나 지급하지 않고 있다. 전체 보상금은 여전히 늘었다. 스프레이그 CEO는 “취약점을 더 저렴하게 찾을 수 있게 되면 공격자도 혜택을 본다. 중간 심각도 취약점을 수정하지 않고 남겨두는 비용이 더 커질 수 있다”고 말했다.
보고서가 늘면서 검토 부담도 커졌다. 스프레이그 CEO는 “신뢰할 만한 비율을 제시할 수는 없다. 사람이 작성했는지, 모델이 생성했는지, 둘을 함께 활용했는지 구분하기 어렵다. 지금은 좋은 보고서에도 AI가 많이 쓰인다”고 말했다. 유효한 발견은 어느 때보다 많지만 전체 제출에서 차지하는 비중은 작아졌다. 나머지 대부분은 중복, 정보 제공 수준의 보고, 조사 범위 밖의 문제, 스팸이며, 연구자의 추가 정보나 프로그램의 최종 결정을 기다리는 비중도 커지고 있다.
스프레이그 CEO는 “이 수치만으로는 두 증가분 가운데 얼마나 AI에서 비롯됐는지 알 수 없다. 보고서를 검토하는 프로그램에 중요한 것은 증거가 실제 보안 영향을 입증하는지 여부”라고 말했다. AI로 그럴듯한 보고서를 만들기는 쉬워졌지만 주장을 확인하는 데는 여전히 상당한 시간이 들 수 있다. 프로그램들은 연구자의 실적에 따른 제출 제한과 비공개 접근 등급으로 대응하고 있다. 그는 “검토 속도를 높이려면 사람과 자동화가 모두 필요하다. 그렇지 않으면 유용한 발견도 조치할 필요가 없는 보고서와 함께 더 오래 기다리게 된다”고 설명했다.
발견 이후의 수정도 과제로 남았다. 보안 책임자의 약 70%는 검증된 취약점이 팀의 처리 속도보다 빠르게 미처리 목록에 쌓인다고 답했다. 58%는 제품 출시나 사업 우선순위 때문에 치명적이거나 심각도가 높은 취약점의 수정이 지연된다고 밝혔다. 스프레이그 CEO는 “상충하는 요구를 조율하려면 제품 책임자들과 논의하고 결과를 명확하게 이해해야 한다. 누군가는 결정에 책임을 져야 한다”고 말했다. 인간의 우위가 얼마나 지속될지에 대해서는 “시점을 특정하지 않겠다. 모델이 개선되는 만큼 연구자도 활용 방식과 집중할 영역을 계속 조정해야 한다”고 덧붙였다.
