MS, 보안 취약점 포상금 2천만달러 ‘역대 최대’…AI가 제보 증가 견인 작성일 08-05 19 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">AI 활용 취약점 발굴 급증, 보상 지원제도 확대 영향</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="8DH8OGHlAr"> <p contents-hash="ba8a27b1eac98ed6f07ee30e0dafb63cbf2951642cd968e2d456219fd49d8fdf" dmcf-pid="6wX6IHXSjw" dmcf-ptype="general">(지디넷코리아=남혁우 기자)마이크로소프트가 지난 1년간 전 세계 보안 연구자들에게 지급한 <span>보안 취약점 신고(</span><span>버그 바운티) 규모가 사상 최대치를 기록했다. </span></p> <p contents-hash="a978416f1a68614c7374096f7e4b436ab656fe762e07bef14179ac1cadcb52f1" dmcf-pid="PrZPCXZvcD" dmcf-ptype="general">인공지능(AI)을 활용한 취약점 발굴이 활발해지면서 제보 건수가 크게 늘었고, 이에 따라 보상 규모도 함께 확대됐다는 설명이다.</p> <p contents-hash="6fc19022577b73ff2f01c4c8f34442c7d749ed52af67fb010dd0fad85db18309" dmcf-pid="Qm5QhZ5TjE" dmcf-ptype="general">마이크로소프트는 5일 지난해 7월 1일부터 올해 6월 30일까지 버그 바운티 프로그램을 통해 총 연구자 562명에게 2천만 달러(약 285억원) 이상 지급했다고 밝혔다. 회사 역사상 가장 큰 규모다.</p> <figure class="figure_frm origin_fig" contents-hash="87dd7192933a6bee875773215b7092bffb79cdec25f2955c037b3e2f05aad41b" dmcf-pid="xs1xl51yAk" dmcf-ptype="figure"> <p class="link_figure"><img alt="마이크로소프트가 지난 1년간 보안 취약점 신고에 대한 보상금으로 2천만 달러 이상 지불했다(이미지=마이크로소프트)" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/05/ZDNetKorea/20260805092448258wsev.jpg" data-org-width="639" dmcf-mid="4gG4sYGhkm" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/05/ZDNetKorea/20260805092448258wsev.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 마이크로소프트가 지난 1년간 보안 취약점 신고에 대한 보상금으로 2천만 달러 이상 지불했다(이미지=마이크로소프트) </figcaption> </figure> <p contents-hash="89882201155d20654568b316637873442bec06a6d94ec9c385942faec8cd84fd" dmcf-pid="y9Ly8nLxNc" dmcf-ptype="general">이번 기록 경신에는 제도 변화도 영향을 미쳤다. 마이크로소프트는 2025년 12월 버그 바운티 프로그램 범위를 확대하며 '기본 범위에 포함(In Scope By Default)' 정책을 도입했다.</p> <p contents-hash="6aeab8bc3bd1a586b44df4293a5c7b7d2b69220cdf2b97eb66af2967710d6237" dmcf-pid="W2oW6LoMAA" dmcf-ptype="general">이 정책은 취약점이 마이크로소프트 온라인 서비스에 직접적이고 입증 가능한 영향을 미칠 경우 해당 코드가 제3자 소프트웨어(SW)나 오픈소스 프로젝트에 속해 있더라도 보상 대상으로 포함하는 것이 핵심이다. 더 많은 취약점이 보상 범주에 들어오면서 지급액이 늘어날 수 있는 구조가 마련된 셈이다.</p> <p contents-hash="822d776a533a8e1e4421e87e2b672b62fae35806847ea2e48cac4c66581c6441" dmcf-pid="YVgYPogRoj" dmcf-ptype="general">마이크로소프트는 이 정책 도입 이후 기존 기준으로는 보상받지 못했을 사례들에 대해 추가로 80만 달러가 지급됐다고 설명했다. 여기에 자사 보안 연구 대회이자 현장 해킹 행사인 '제로 데이 퀘스트(Zero Day Quest)'를 통해서도 230만 달러가 별도로 지급됐다.</p> <p contents-hash="42e4cf8f72a759402ee6d213d5562a909a9c1b0cf43a7647f8582b0998e5a889" dmcf-pid="GfaGQgaekN" dmcf-ptype="general">올해 제보 건수가 급증한 데에는 AI의 역할이 컸다는 것이 마이크로소프트의 판단이다. 회사는 특히 하반기에 접수된 취약점 보고가 눈에 띄게 늘었으며, 그 배경 중 하나로 보안 연구를 지원하는 AI 활용 증가를 꼽았다.</p> <p contents-hash="1ed73bbadf8668b723648b9e22d1a5aeb32b9fac357459f078be5febe5169f4a" dmcf-pid="HWqgZzqFja" dmcf-ptype="general">마이크로소프트는 자사 내부에서도 고급 AI 모델을 취약점 탐지에 활용하고 있다고 밝혀왔다. 동시에 외부 연구자들 역시 AI 도구를 이용해 더 많은 버그를 더 빠르게 찾아내고 있는 것으로 보인다. AI가 공격자뿐 아니라 방어자와 연구자 모두의 생산성을 끌어올리면서 패치와 대응 부담도 함께 커지는 양상이다.</p> <p contents-hash="e85824a35168ed22379bb74e0d57e8cfd1218cd67812ca4159c574074b37aada" dmcf-pid="XYBa5qB3Ng" dmcf-ptype="general">이 같은 흐름은 마이크로소프트의 월간 보안 업데이트인 '패치 화요일(Patch Tuesday)' 수치에도 반영됐다. 지난달에는 622건의 취약점이 수정되며 역대 최대치를 기록했다. 이는 불과 한 달 전인 6월의 206건을 크게 웃도는 수치다. 앞서 4월에는 165건, 5월에는 137건이 보고되며 이미 이례적인 증가세가 감지된 바 있다.</p> <p contents-hash="a0c4fb8c635b4d293d72ec94e90375e44fa1cf64d162fc2625c5278ca52cc8d5" dmcf-pid="ZGbN1Bb0oo" dmcf-ptype="general">마이크로소프트 윈도우·디바이스 부문 경영진도 기록적인 패치 규모가 앞으로도 이어질 수 있다고 경고했다. AI가 내부 연구와 외부 버그 바운티 활동 모두에서 중요한 역할을 하면서 취약점 발견 속도 자체가 빨라지고 있다는 것이다.</p> <p contents-hash="b125dcbb93e97952b601e12f02d83e289341d3af40ec59b0bed3986465bdd452" dmcf-pid="5HKjtbKpNL" dmcf-ptype="general">마이크로소프트는 "올해 연구자 562명에게 2천만 달러 이상 상금과 표창이 수여되는 등 기록적인 성과는 마이크로소프트와 전 세계 보안 연구 커뮤니티 간의 강력한 파트너십이 만들어낸 결과"라며 "보안은 팀워크가 중요한 분야로 취약점 포상 프로그램을 통해 보고되는 모든 취약점은 고객에게 악용되기 전에 위험을 해결할 수 있는 기회를 제공한다"고 밝혔다.</p> <p contents-hash="c45c857928f099781f1cc214ed4465dc82ca4ba0cf2fdaf69dd4687d6ea15896" dmcf-pid="1X9AFK9Ugn" dmcf-ptype="general">이어 "전통적인 버그 바운티 제출 방식과 공동 취약점 공개를 통한 협업, 제로 데이 퀘스트와 같은 이니셔티브 참여 등 어떤 방식을 통해서든 연구자들은 전 세계 고객을 보호하는 데 중요한 역할을 계속 수행하고 있다"며 "지난 한 해 동안 보고서를 제출하고 과제에 참여하며 전문 지식을 공유하고 협력해준 모든 연구자들에게 감사드린다"고 덧붙였다.</p> <p contents-hash="491a4190815e48af7e384be540c127fa95c112f388675b6ed93d88d1bc95cbb0" dmcf-pid="tZ2c392uci" dmcf-ptype="general">남혁우 기자(firstblood@zdnet.co.kr)</p> </section> </div> <p class="" data-translation="true">Copyright © 지디넷코리아. 무단전재 및 재배포 금지.</p> 관련자료 이전 메타-구글과 광고 경쟁 핀터레스트, 성장 둔화 전망 08-05 다음 극한 폭염에 야외 여행지서 쇼핑몰로 발길 돌렸다 08-05 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
