버그바운티라는 게 있어요. 기업이 '우리 서비스에서 보안 취약점을 찾아주면 포상금을 드릴게요'라고 공개적으로 내거는 제도인데요. 이 시장의 최대 플랫폼이 바로 해커원(HackerOne)이에요. 그런데 최근, 10년 가까이 이 플랫폼에서 활동해온 한 보안 연구자가 '해커원에 무슨 일이 있었나'라는 회고 글을 올렸어요. 한 시대를 풍미한 플랫폼이 어쩌다 해커들의 신뢰를 잃게 됐는지, 해커로서 또 잠시나마 프로그램 운영자로서 안팎을 모두 경험한 사람의 시선으로 짚어낸 글이라 곱씹을 대목이 많거든요.
황금기, 그리고 균열
글쓴이가 말하는 2016~2020년의 해커원은 정말 '해커에 의한, 해커를 위한' 곳이었대요. 라스베이거스와 싱가포르, 런던에서 라이브 해킹 이벤트가 열리고, 치명적인 취약점 리포트는 하루 이틀 만에 검증됐고, 프로그램 매니저가 해커의 닉네임과 전문 분야를 기억하던 시절이요. 학자금 대출을 다 갚거나 집을 산 해커들이 실제로 있었을 만큼 보상도 실질적이었고요.
균열은 2021~2022년쯤 시작됐다고 해요. 회사가 4,900만 달러 규모의 시리즈 E 투자를 받으면서 기업 대상 매출 성장을 강하게 좇기 시작했고, 트리아지 팀이 외주 계약직 중심으로 바뀌었어요. 트리아지가 뭐냐면, 접수된 취약점 리포트를 검토해서 진짜인지 판별하는 관문 역할이에요. 이 관문을 지키는 사람들이 '정확도'가 아니라 '처리량'으로 평가받게 되면서 문제가 터지기 시작한 거죠. 인증 우회 취약점을 작동하는 증명 영상까지 첨부해 제출했는데 11분 만에 '해당 없음, 추가 정보를 달라'는 답이 왔다는 일화가 나오는데요. 11분이면 영상을 아예 안 봤다는 얘기거든요. 검증에 걸리는 시간은 몇 시간에서 몇 주로 늘어났고, 중복 처리 판정은 해커가 확인할 수도 없는 블랙박스가 됐다고 해요.
AI 슬롭, 그리고 신호의 붕괴
2023년부터는 더 큰 문제가 덮쳤어요. LLM으로 대량 생성된 가짜 리포트, 이른바 'AI 슬롭'이 공개 프로그램에 쏟아지기 시작한 거예요. 프로그램 매니저들의 추정으로는 공개 프로그램에 접수되는 리포트의 60~80%가 환각으로 지어낸 취약점, 조작된 증명 코드 같은 AI 쓰레기라고 해요. 진짜 해커의 리포트가 수천 건의 쓰레기와 같은 줄에 서게 되니, 지친 검토자들은 모든 걸 스팸으로 패턴 매칭하기 시작했고, 교과서적인 모양이 아닌 참신한 취약점일수록 오히려 '해당 없음'으로 닫히는 역설이 벌어졌어요. 글쓴이는 해커원이 이 문제에 자체 AI 트리아지 '하이(Hai)'로 대응한 것을 두고, 인간의 창의성이 핵심 가치였던 플랫폼이 AI 스팸 문제를 사람을 더 빼는 방식으로 풀려 한다는 게 깊이 아이러니하다고 꼬집어요.
돈은 어디로 갔나
보상 테이블은 물가 상승조차 못 따라갔대요. 2019년에 2만~4만 달러였던 주요 프로그램의 원격 코드 실행(RCE) 취약점 포상금이 지금도 명목상 같은 금액인데, 사설 익스플로잇 브로커들은 그 10~50배를 지불하거든요. 그러니 최고 수준의 해커들은 조용히 떠났어요. 익스플로잇 개발로, 보안 엔지니어 취업으로, 자기 컨설팅 회사로요. 그리고 회사의 보도자료에서는 '버그바운티'보다 'AI', '공격 표면 관리' 같은 단어가 훨씬 자주 등장하게 됐고요. 글쓴이는 이걸 악의라기보다, 벤처 규모의 성장 기대와 커뮤니티 기반 사업이 충돌했을 때 벌어지는 예측 가능한 결과라고 봐요.
우리에게 주는 시사점
이 글의 결론은 '버그바운티는 죽지 않았지만, 공개 프로그램을 훑는 제너럴리스트의 시대는 대체로 끝났다'는 거예요. 모바일, 하드웨어, 프로토콜 수준처럼 AI 슬롭이 따라올 수 없는 깊은 틈새를 파거나, 내부 전담 트리아지가 있는 프라이빗 프로그램에 들어가거나, 플랫폼을 거치지 않고 보안팀과 직접 관계를 맺는 방향으로요. 보안 커리어를 꿈꾸며 버그바운티부터 시작하려는 분이라면, 이걸 본업이 아니라 포트폴리오와 부수입 수단으로 접근하라는 조언이 특히 현실적이에요. 그리고 AI 슬롭이 신뢰 기반 시스템을 어떻게 무너뜨리는지에 대한 이 이야기는 오픈소스 이슈 트래커, 채용 서류 심사, 커뮤니티 운영까지 우리 주변 어디에나 적용되는 경고이기도 하고요.
한 줄 정리: 신뢰와 빠른 피드백으로 굴러가던 버그바운티 생태계가 성장 압박과 AI 슬롭 앞에서 흔들리고 있다는 내부자의 기록이에요. 여러분이라면 AI 생성 쓰레기 리포트의 홍수 속에서 진짜 신호를 어떻게 골라내시겠어요?
🔗 출처: Hacker News