버그바운티의 황금기는 왜 저물었나 — 해커원 쇠퇴의 내막

버그바운티 업계에서 오래 활동한 한 연구자이자 프로그램 운영자가 최근 해커원(HackerOne)의 변화를 두고 "안부를 물어야 할 때"라는 표현을 썼다. 그는 2017년 해커로 이 플랫폼에 발을 들였고, 2018년부터 2025년까지 여러 기업에서 대형 버그바운티 프로그램을 운영하며 해커와 발주사 양쪽을 모두 경험했다. 업계에 들어온 지 1~3년 된 사람이라면 실감하기 어렵겠지만, 이른바 '황금기'를 지나온 사람에게는 지금의 해커원이 분명히 다른 회사로 보인다는 것이 그의 진단이다. 이 글은 특정 개인의 회고이지만, 플랫폼 비즈니스가 커뮤니티 기반에서 매출 중심으로 이동할 때 어떤 일이 벌어지는지 보여주는 사례로 읽을 만하다.

위험을 줄여준 안전지대에서 출발하다

해커원의 존재 이유를 이해하려면 2011년으로 거슬러 올라가야 한다. 두 명의 윤리적 해커 요버트 아브마와 미힐 프린스는 구글, 페이스북, 애플, 마이크로소프트, 트위터 등 대형 기술 기업 100곳에서 취약점을 찾아냈다. 당시 보안 연구는 법적으로 모호하고 위험한 영역이었다. 취약점을 찾아 신고한 해커가 형사 기소되어 실형을 받는 일까지 있었고, 무엇이 선의이고 무엇이 범죄인지의 경계는 자의적으로 그어져 있었다. 해커원 같은 플랫폼은 바로 이 문제를 정면으로 겨냥했다. 기업과 해커가 상호 합의 아래 만나는 안전지대를 만들어, 고객 데이터를 유출하는 IDOR 취약점을 찾더라도 법정에 끌려가는 대신 감사 인사와 보상금을 받을 수 있게 한 것이다. 이 운영 모델은 이후 5년 넘게 버그바운티의 근간이 됐고, 회사를 이끄는 사람들 상당수가 해커이거나 해커와 늘 얼굴을 맞대는 이들이었다.

라이브 해킹 이벤트가 만든 공동체

2017년부터 2020년까지 해커원은 몇 달에 한 번씩 라이브 해킹 이벤트(LHE)를 열었다. 세계 최고 수준의 연구자들을 한곳에 불러 모아 며칠간 특정 대상을 집중적으로 파헤치게 하는 자리였는데, 발주 기업 입장에서는 1~3일 만에 1년치보다 많은 고위험·치명적 취약점 보고를 받을 수 있었다. 이벤트마다 맞춤 제작 포스터와 스티커, 챌린지 코인이 만들어졌고, 초대장과 동반 참가권은 그 자체로 하나의 '화폐'처럼 취급될 만큼 귀했다. 무엇보다 이 이벤트들은 그전까지 작고 고립돼 있던 연구자 집단을 하나로 이었다. 공개적으로 노하우를 나누는 문화가 거의 없던 시절, LHE는 인포섹 안에 새로운 커뮤니티를 만들어냈다. 회사는 여기서 그치지 않고 온라인 모임과 워크숍, CTF를 조직하는 커뮤니티 공간을 열고, 지역별 클럽과 앰배서더 제도를 운영하며 각지의 연구자 생태계를 키웠다.

돈을 어떻게 벌 것인가

변화의 배경에는 모든 회사가 언젠가 마주하는 질문이 있었다. 저자에 따르면 해커원은 설립 후 약 10년간 사실상 벤처 투자금으로 버텨온 회사다. 2014년부터 2022년까지 거의 2년마다 투자를 유치해 총 1억 6천만 달러를 모았는데, 인프라나 기술 혁신이 크지 않은 회사가 자립하지 못하고 계속 돈을 끌어온 셈이다. 투자금에는 이사회 자리와 자문 지위 같은 지렛대가 따라왔고, 2020~2021년 무렵 투자자들은 가장 쉬운 수익화 공식을 꺼내들었다. 바로 '고객을 더 많이 확보하는 것'이다. 창업자 출신 CEO는 기업형 CEO로 교체됐고, 보상금의 20%를 떼던 방식은 정액 기반 요금제와 다년 계약으로 바뀌었다. 회사의 중심은 해커에서 영업으로 옮겨갔다. 한번 묶인 고객에게는 통계와 숫자를 제공해 불만과 요구를 낮게 유지하고, 계약 갱신 시점에는 30~60%의 대폭 할인을 미끼로 다년 계약에 다시 묶었다.

영향은 관련된 모든 이에게 번졌다. 실력 있는 트리아지 담당자들은 낮은 보수와 과중한 업무에 지쳐 떠났고, 해커들은 저품질 프로그램의 홍수 속에서 트리아지 경험이 나빠졌다. 고객은 보고서 품질이 떨어지고 비용은 오르는 '바닥을 향한 경쟁'에 휩쓸렸으며, 플랫폼 경험은 정체된 채 진화하지 않았다. 보통이라면 경쟁사가 시장을 빼앗아 개선을 강제했겠지만, 버그바운티는 세 회사가 시장 대부분을 지배하는 과점 구조다. 저자는 이 점이 정체를 오래 방치할 수 있게 만든 구조적 원인이라고 짚는다.

HSP와 피드백, 그리고 AI라는 갈림길

대응책으로 해커원은 상위 해커에게 전담 매니저(HSM)를 붙여 직접 지원하는 '해커 석세스 프로그램(HSP)'을 만들었다. 낮거나 부정확한 보상, 프로그램과의 소통 문제를 매니저를 통해 풀 수 있게 한 것으로, 일부 해커에게는 이전까지 넘을 수 없던 벽을 허문 혁신이었다. 그러나 저자는 이것이 신규 해커에게 극도로 불리한 운동장을 만들었다고 본다. 이미 최상위에 오른 이들만 자원을 얻어 더 강해지는 반면, 그 자원이 없는 이들은 정작 상위로 올라서기가 더 어려워지는 역설이 생겼다는 것이다. 게다가 HSP 소속이라 해도 플랫폼 자체의 기능 개발을 이끌어낼 힘은 없었고, 별도의 피드백 채널이 만들어졌지만 수많은 제안에 대한 실제 조치는 사실상 없었다고 그는 지적한다.

2021년 무렵 시작된 AI와 LLM의 부상은 정체된 플랫폼에 반전의 기회가 될 수 있었다. 10년치 기능 요청이 쌓여 있던 회사가 강력한 개발 도구를 손에 쥔 상황이었기 때문이다. 그러나 해커원은 오래 요구돼온 핵심 기능을 채우는 대신 자체 AI 어시스턴트 'Hai'를 내놓는 쪽으로 방향을 틀었다. 저자는 Hai가 오픈AI 위에 씌운 래퍼에 가까웠고 해커나 프로그램에 실질적으로 도움이 될 고유 기능은 거의 없었다고 평가한다. 회사를 만든 공동창업자들은 여전히 경영진으로 이름을 올리고 있지만, 자신이 처음부터 일군 제품에 좀처럼 손대지 못하는 상태라고 그는 전한다. 다만 약 10년간 CEO를 맡은 마르텐 미코스에 대해서는, 평가가 엇갈리긴 해도 버그바운티에 열정을 갖고 회사에 많은 기여를 했다고 균형 있게 덧붙였다.

이 회고가 특정 개인의 관점이라는 점은 감안해야 한다. 그럼에도 국내 보안·플랫폼 실무자에게 주는 시사점은 분명하다. 커뮤니티와 신뢰가 자산인 서비스가 투자 회수 압박 아래 영업 중심 구조로 재편될 때, 단기 매출 지표는 개선돼도 생태계의 핵심 참여자들이 먼저 이탈한다는 점이다. 과점 시장에서는 경쟁 압력이 개선을 강제하지 못해 정체가 길어질 수 있으며, AI 같은 신기술도 축적된 사용자 요구를 해결하는 데 쓰지 않으면 홍보용 기능에 그친다. 플랫폼을 운영하거나 이런 서비스에 의존하는 조직이라면, 참여자 경험 지표와 실제 기능 개선 이력을 함께 들여다보는 일이 계약과 이용 판단에서 점점 더 중요해질 것이다.