MS, 보안 취약점 포상금 2천만달러 ‘역대 최대’…AI가 제보 증가 견인

AI 활용 취약점 발굴 급증, 보상 지원제도 확대 영향

마이크로소프트가 지난 1년간 전 세계 보안 연구자들에게 지급한 보안 취약점 신고(버그 바운티) 규모가 사상 최대치를 기록했다. 

인공지능(AI)을 활용한 취약점 발굴이 활발해지면서 제보 건수가 크게 늘었고, 이에 따라 보상 규모도 함께 확대됐다는 설명이다.

마이크로소프트는 5일 지난해 7월 1일부터 올해 6월 30일까지 버그 바운티 프로그램을 통해 총 연구자 562명에게 2천만 달러(약 285억원) 이상 지급했다고 밝혔다. 회사 역사상 가장 큰 규모다.

마이크로소프트가 지난 1년간 보안 취약점 신고에 대한 보상금으로 2천만 달러 이상 지불했다(이미지=마이크로소프트)

이번 기록 경신에는 제도 변화도 영향을 미쳤다. 마이크로소프트는 2025년 12월 버그 바운티 프로그램 범위를 확대하며 '기본 범위에 포함(In Scope By Default)' 정책을 도입했다.

이 정책은 취약점이 마이크로소프트 온라인 서비스에 직접적이고 입증 가능한 영향을 미칠 경우 해당 코드가 제3자 소프트웨어(SW)나 오픈소스 프로젝트에 속해 있더라도 보상 대상으로 포함하는 것이 핵심이다. 더 많은 취약점이 보상 범주에 들어오면서 지급액이 늘어날 수 있는 구조가 마련된 셈이다.

마이크로소프트는 이 정책 도입 이후 기존 기준으로는 보상받지 못했을 사례들에 대해 추가로 80만 달러가 지급됐다고 설명했다. 여기에 자사 보안 연구 대회이자 현장 해킹 행사인 '제로 데이 퀘스트(Zero Day Quest)'를 통해서도 230만 달러가 별도로 지급됐다.

올해 제보 건수가 급증한 데에는 AI의 역할이 컸다는 것이 마이크로소프트의 판단이다. 회사는 특히 하반기에 접수된 취약점 보고가 눈에 띄게 늘었으며, 그 배경 중 하나로 보안 연구를 지원하는 AI 활용 증가를 꼽았다.

마이크로소프트는 자사 내부에서도 고급 AI 모델을 취약점 탐지에 활용하고 있다고 밝혀왔다. 동시에 외부 연구자들 역시 AI 도구를 이용해 더 많은 버그를 더 빠르게 찾아내고 있는 것으로 보인다. AI가 공격자뿐 아니라 방어자와 연구자 모두의 생산성을 끌어올리면서 패치와 대응 부담도 함께 커지는 양상이다.

이 같은 흐름은 마이크로소프트의 월간 보안 업데이트인 '패치 화요일(Patch Tuesday)' 수치에도 반영됐다. 지난달에는 622건의 취약점이 수정되며 역대 최대치를 기록했다. 이는 불과 한 달 전인 6월의 206건을 크게 웃도는 수치다. 앞서 4월에는 165건, 5월에는 137건이 보고되며 이미 이례적인 증가세가 감지된 바 있다.

마이크로소프트 윈도우·디바이스 부문 경영진도 기록적인 패치 규모가 앞으로도 이어질 수 있다고 경고했다. AI가 내부 연구와 외부 버그 바운티 활동 모두에서 중요한 역할을 하면서 취약점 발견 속도 자체가 빨라지고 있다는 것이다.

마이크로소프트는 "올해 연구자 562명에게 2천만 달러 이상 상금과 표창이 수여되는 등 기록적인 성과는 마이크로소프트와 전 세계 보안 연구 커뮤니티 간의 강력한 파트너십이 만들어낸 결과"라며 "보안은 팀워크가 중요한 분야로 취약점 포상 프로그램을 통해 보고되는 모든 취약점은 고객에게 악용되기 전에 위험을 해결할 수 있는 기회를 제공한다"고 밝혔다.

이어 "전통적인 버그 바운티 제출 방식과 공동 취약점 공개를 통한 협업, 제로 데이 퀘스트와 같은 이니셔티브 참여 등 어떤 방식을 통해서든 연구자들은 전 세계 고객을 보호하는 데 중요한 역할을 계속 수행하고 있다"며 "지난 한 해 동안 보고서를 제출하고 과제에 참여하며 전문 지식을 공유하고 협력해준 모든 연구자들에게 감사드린다"고 덧붙였다.