애플이 보안 연구자들의 취약점 신고 건수에 상한을 두는 새 정책을 도입했다고 파이낸셜타임스가 2일(현지시간) 보도했다. 생성 AI를 활용한 신고가 급증하면서 내부 보안팀이 이를 감당하지 못하는 상황에 이르렀기 때문이다. 한 연구자는 챗GPT를 이용해 3주 만에 취약점 50개를 찾아낸 것으로 알려졌다.
‘버그 바운티’는 기업이 자사 제품의 보안 결함을 찾아 신고한 사람에게 포상금을 주는 제도다. 외부의 눈을 빌려 해커보다 먼저 문제를 찾자는 취지로, 애플을 비롯한 대부분의 대형 기술기업이 운영한다. 그동안은 결함을 찾아내는 일 자체가 어렵고 시간이 오래 걸렸기 때문에 신고 건수도 자연스럽게 제한됐다.
AI가 이 균형을 깼다. 코드를 읽고 의심스러운 부분을 짚어내는 작업을 AI가 대신하면서 신고량이 폭증했지만, 그중에는 실제로는 문제가 아닌 허위 신고나 저품질 보고도 대량으로 섞여 있다. 결국 사람이 하나하나 확인해야 하는 검증 단계에 병목이 생긴 것이다. 애플은 연구자별 제출 건수에 한도를 설정하고, 일정 한도를 넘으면 추가 제출을 제한하는 방식을 택했다. 업계에서는 이제 사이버 보안의 과제가 ‘취약점 발견’에서 ‘검증과 우선순위 결정’으로 옮겨가고 있다는 분석이 나온다.
왜 중요한가
이 사례는 AI 도입이 조직에서 실제로 어떻게 작동하는지 보여준다. AI는 무언가를 만들어내는 속도를 몇 배로 올리지만, 그 결과물이 맞는지 확인하는 일은 여전히 사람의 몫이다. 그래서 병목은 사라지지 않고 뒷단으로 옮겨간다. 문서 작성, 코드 리뷰, 민원 처리처럼 AI가 초안을 대량 생산하는 업무라면 어디서든 같은 일이 벌어질 수 있다. AI 도구를 도입할 때 “얼마나 빨리 만드는가”만큼 “누가 검증하는가”를 함께 정해두어야 하는 이유다.