Markdown 버전

AI-translated from English; not yet reviewed by a fluent editor.

# Google, 오픈소스 제품 취약점 신규 제보 중단…연구자는 어디에 신고할 수 있나

> Google은 10월 1일 OSS VRP에 접수되는 신규 제품 취약점 제보를 중단했다. 공급망 제보와 기존 사건은 계속 처리되며, 일부 문제에는 Cloud·AI·Patch Rewards의 별도 규정이 적용될 수 있다.

By BIG CHANGE Editorial

Published: 2026-10-05T04:59:25.735Z
Updated: 2026-10-05T04:59:25.735Z
Canonical: https://bigchange.ai/blog/google-oss-vrp-product-report-pause-routing-guide

![Conceptual charcoal illustration of two wall-mounted report slots: one shutter is closed, while a plain sheet rests in the other open slot.](https://bigchange.ai/api/media/file/google-oss-vrp-report-routing-hero-v2.png)
AI-generated conceptual editorial illustration by BIG CHANGE.

Google은 2026년 10월 1일부터 오픈소스 소프트웨어 취약점 보상 프로그램(OSS VRP)에 제품 취약점 신규 제보를 받지 않는다. [현행 프로그램 규정](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) 은 접수 중단일을 명시한다. 공급망 제보는 계속 접수하며, Google은 10월 1일 전에 제출된 제품 제보에는 영향이 없다고 밝혔다. 취약점이 Cloud 제품에 영향을 주는 일부 Google Cloud 관리 저장소의 경우 [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) 가 제품 제보를 계속 받을 수 있다.

이번 중단은 Google이 [3월 19일 규정을 개정](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)한 뒤 이뤄졌다. 당시 Google은 잘못된 트리거 조건이나 미미한 보안 영향을 담은 AI 생성 제보가 늘고 있다고 했다. [10월 1일 성명](https://x.com/GoogleVRP/status/2105689195180179605)에서는 *자동화된* 제출도 증가했으며 그중 대부분이 유효하지 않았다고 밝혔다. 10월 성명은 모든 자동화 제보를 AI가 생성했다고 규정하지는 않았다. Google은 재개 날짜 없이 2027년 1분기에 업데이트하겠다고 약속했다.

## 큰 변화

이전에는 OSS VRP가 프로젝트 등급과 증거 요건에 따라 적격 Google 오픈소스 프로젝트의 제품 취약점 제보를 받았다. 10월 1일부터 신규 제품 제보 경로는 중단됐다. 공급망 경로는 소스 코드나 배포 빌드를 침해할 수 있는 발견을 계속 접수하며, 이미 제출된 제품 제보도 처리 중이다. 연구자는 이제 제보 양식을 고르기 전에 발견 유형과 제품 영향을 판단해야 한다. 다른 프로그램 이용 여부는 저장소가 Google 소유인지 여부만이 아니라 Google 규정으로 결정된다.

## 제보 전에 경로부터 분류하기

먼저 [OSS VRP 규정](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) 과 영향을 받은 저장소의 신원 및 현재 버전을 확인한다. Google에 따르면 이 프로그램은 Google 소유 GitHub 조직의 공개 저장소에 있는 최신 소프트웨어 버전과 다른 플랫폼의 일부 저장소를 다룬다. 이 범위에 속한다고 해서 모든 문제가 보상 대상이 되는 것은 아니다.

| 발견 유형 | Google 규정에 따른 현재 경로 |
| --- | --- |
| 하위 제품에서 사용하는 소프트웨어의 결함 등 Google OSS의 신규 제품 취약점 | 중단 기간에는 이를 OSS VRP의 신규 제품 제보로 제출하지 않는다. 입증한 영향이 다른 프로그램의 자체 규정을 충족하는지 확인한다. |
| Google OSS 소스 무결성이나 배포 빌드 산출물을 침해할 수 있는 취약점 | OSS VRP 공급망 기준을 확인한 뒤 Google의 [취약점 신고 양식](https://bughunters.google.com/report) 에서 OSS VRP를 선택하고 저장소 URL을 입력한다. 이 접수 경로는 계속 열려 있다. |
| 10월 1일 전에 이미 제출한 제품 취약점 | 기존 제보를 계속 진행한다. Google은 중단이 미결 제보에 영향을 주지 않는다고 밝혔다. |
| Google Cloud가 관리하며 Google Cloud 제품 또는 서비스에 영향을 주는 저장소 | 영향받는 제품 등급을 포함해 [Cloud VRP 규정](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules)을 확인한다. Google은 이런 제보 중 일부를 해당 프로그램에서 받을 수 있다고 했지만, 저장소 위치만으로는 충분하지 않다. |
| LLM이나 다른 생성형 AI 시스템이 문제의 핵심인 Google 또는 Alphabet AI 제품의 문제 | 확인할 [AI VRP 규정](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules)을 확인한다. AI를 이용해 일반적인 코드 결함을 찾았다는 사실만으로 그 결함이 AI VRP 대상이 되지는 않는다. |
| 제안된 보안 개선 또는 패치 | 적격 프로젝트와 변경 사항에 적용되는 별도의 [Patch Rewards 프로그램 규정](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) 을 확인한다. 패치 보상 프로그램이지, 접수가 중단된 동일 취약점 제보의 대체 경로가 아니다. |

Google의 [OSS 규정](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) 에는 일부 메모리 손상 문제를 OSS-Fuzz로 재현하거나 패치가 병합되어야 한다는 등 이전 제품 취약점 접수 기준도 남아 있다. 이 문단은 해당 제보 유형의 요건을 설명하지만 새로운 10월 접수 중단 규정 아래에 있다. 따라서 중단 기간에 OSS VRP 제품 취약점을 새로 제보하는 경로가 될 수 없다.

## 계속 접수되는 OSS 제보의 요건

공급망 문제는 Google OSS 소스 코드, 빌드 산출물 또는 배포 패키지를 변경할 수 있는 악용 가능한 경로를 입증해야 한다. 외부 변경 요청을 관리자가 승인한 뒤에만 성립하는 시나리오는 내부자 위험으로 처리되며 공급망 취약점 보상 대신 공로 인정 대상이 될 수 있다. Google은 저장소·빌드 설정, 릴리스 인프라, 배포 자격 증명 등을 관련 공격면으로 든다. 이는 범위 설명이지 다른 사람의 인프라를 시험해도 된다는 허가가 아니다.

이 안내는 2026년 10월 5일 확인한 Google 프로그램 문서를 바탕으로 작성했다. BIG CHANGE는 취약점을 시험하거나 제보하지 않았다. 제출 전에 Google의 [제보 안내](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules)에서 요구하는 항목을 준비한다:

1. 저장소 URL, 영향을 받는 소프트웨어 버전, 그리고 발견 사항이 적용되는 최근 빌드 또는 설정.
2. 결함, 이를 유발하는 조건, 보안 영향을 간결하게 설명한다. 코드 경고만으로 악용 가능한 취약점이 입증됐다고 가정하지 말고 공격 시나리오를 설명한다.
3. 재현 절차와 가능하다면 빌드 가능한 개념 증명을 준비한다. 관련 출력이나 크래시 덤프가 있다면 첨부한다. 관찰한 결과와 추론한 영향을 구분한다.
4. 적절한 프로그램과 접수 경로를 선택한다. OSS 공급망 제보는 취약점 양식의 Bug Location 단계에서 OSS VRP를 선택하고 저장소 URL을 지정한다. Cloud나 AI는 각 프로그램의 적용 범위와 양식 안내를 따른다.

Google은 가능하면 로컬에서 시험하고 다른 사용자를 방해하지 않으며 대량 트래픽을 유발하는 자동화 테스트를 피하라고 권고한다. [Cloud 규정](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) 은 고객 소유 리소스의 시험을 금지한다. [AI 규정](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) 은 제보자가 문제를 검증하고 범위에 해당하는 위협을 쉬운 말로 설명하도록 요구한다. 이런 경계는 제보서의 완성도만큼 중요하다.

프로그램 페이지는 공개되어 있고 취약점 제보에 수수료가 없다고 안내한다. 실제로 필요한 것은 구체적인 발견, 적격 대상, 선택한 프로그램 규정을 충족하는 제보다. 보상은 재량으로 결정되며 프로그램, 프로젝트 등급, 영향에 따라 달라진다. 현행 OSS 보상표에는 신규 제품 취약점 보상이 없고, 적격 등급의 공급망 취약점 보상 범위는 여전히 기재되어 있다. 제출이나 잘 작성된 제보만으로 지급이 보장되지는 않는다.

## Google이 접수 절차를 바꾼 이유

Google은 3월 게시물에서 연구자가 결과를 검증하면 AI 보조 연구가 유용할 수 있다고 했다. 일부 제보는 트리거 조건을 지어내거나 도달 가능하고 의미 있는 보안 영향을 보이지 않은 채 코드 오류만 지적했다고 설명했다. 4월 업데이트에서는 하위 OT2·OT3 프로젝트의 제품 취약점 및 기타 보안 문제에 대한 보상이나 공로 인정을 없앴다. 10월 중단은 모든 프로젝트 등급의 *신규* OSS VRP 제품 제보로 확대됐다. [TechCrunch](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) 도 이번 중단을 보도했다. Google의 공개 발언은 규정 변경과 제시된 이유를 보여주지만, 접수 건수나 무효 제보 중 AI를 사용한 비율에 대한 독립 측정은 제공하지 않는다.

연구자가 지금 해야 할 일은 현행 규정에 따라 발견을 분류하고, 실제 보안 결과를 입증한 뒤, 현재 적격한 접수 경로만 이용하는 것이다. Google은 2027년 1분기에 제품 제보 경로를 업데이트하겠다고 했다. 그때까지 신규 OSS VRP 제품 제보에는 10월 접수 중단일이 적용된다.

## 출처 및 추가 자료

- [Google OSS VRP 규정](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules); 2026년 10월 5일 현행 규정을 확인했다. 10월 1일 접수 중단, 계속 열려 있는 공급망 범위, 제보 요건 및 보상 한도를 설명한다.
- [Google의 2026년 3월 19일 규정 개정](https://bughunters.google.com/blog/ossvrp-rule-updates-2026)과 4월 업데이트. AI 관련 초기 관찰과 프로젝트 등급 변경을 기록한다.
- [Google VRP의 2026년 10월 1일 성명](https://x.com/GoogleVRP/status/2105689195180179605) .조사 환경에서 X 원문을 가져오지 못했다. 텍스트와 게시물 ID는 [제3자 미러](https://twstalker.com/GoogleVRP/status/2105689195180179605) 에서 찾았으며 적용 범위는 Google 현행 프로그램 규정과 대조했다.
- [Cloud VRP](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) , [AI VRP](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) 및 [Patch Rewards](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) 규정. 2026년 10월 5일 확인. 프로그램마다 적격성과 제보 요건이 다르다.

## Sources

- [Google Bug Hunters: Google OSS VRP 간소화: 주요 규정 업데이트](https://bughunters.google.com/blog/ossvrp-rule-updates-2026) — Google은 AI 생성 제보의 증가를 설명하고 더 강한 보안 영향 증거를 요구하는 이유를 밝혔다. 이후 4월에 프로젝트 등급별 보상을 조정했다. 10월 중단은 현행 OSS VRP 규정에 명시되어 있다.
- [Google Bug Hunters: OSS VRP 규정](https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules) — 2026년 10월 5일 확인. Google의 현행 규정은 10월 1일 제품 제보 중단, 계속되는 공급망 접수 경로, 제보 안내 및 보상 조건을 명시한다.
- [Google VRP(@GoogleVRP)의 2026년 10월 1일 성명](https://x.com/GoogleVRP/status/2105689195180179605) — 10월 1일 성명은 무효한 자동화 제출의 증가를 언급했다. X 원문은 가져올 수 없었고, 제3자 미러에서 텍스트와 게시물 ID를 확인했다. Google이 공개한 OSS 규정도 중단 범위를 별도로 확인해 준다.
- [Google Bug Hunters OSS VRP 규정의 공개 GitHub 미러](https://github.com/google/bughunters/blob/main/bughunters/articles/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules.md) — Google의 GitHub 사본에는 날짜가 명시된 제품 제보 중단과 계속되는 공급망 기준을 포함해 현행 OSS VRP 규정 전체가 있다. 2026년 10월 5일 확인.
- [Google Cloud VRP 규정](https://bughunters.google.com/about/rules/google-friends/cloud-vulnerability-reward-program-rules) — Google Cloud가 관리하는 오픈소스 저장소의 문제가 Cloud 제품이나 서비스에 영향을 주면 적격일 수 있다. 적격성과 보상 등급은 Cloud 프로그램 자체 규정에 따른다. 2026년 10월 5일 확인.
- [Google AI VRP 규정](https://bughunters.google.com/about/rules/google-friends/ai-vulnerability-reward-program-rules) — 생성형 AI 시스템과의 상호작용이 문제의 핵심인 Google·Alphabet AI 제품의 특정 문제를 다룬다. 제보자가 문제를 검증해야 한다. 2026년 10월 5일 확인.
- [Google Patch Rewards Program 규정](https://bughunters.google.com/about/rules/open-source/patch-rewards-program-rules) — 별도 프로그램으로, 자체 프로젝트·제출 규정에 따라 적격 오픈소스 프로젝트의 보안 개선과 패치를 심사한다. 2026년 10월 5일 확인.
- [TechCrunch: AI 제출 급증으로 Google이 오픈소스 버그 바운티 프로그램 동결](https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/) — 10월 4일 기사는 발표의 배경을 전한다. 여기에서 설명한 정확한 제보 경로는 Google이 공개한 프로그램 규정에 따른다.
- [Tom's Hardware: 유효하지 않은 AI 제출이 쏟아지자 Google, 오픈소스 버그 바운티 동결](https://www.tomshardware.com/tech-industry/artificial-intelligence/google-suspends-part-of-the-oss-vrp-bug-bounty-program-due-to-an-influx-of-invalid-ai-submissions-product-vulnerability-submissions-ended-october-1) — 10월 3일 보도. Google의 10월 성명은 자동화된 제출을 다루며, 3월 프로그램 게시물은 AI 생성 제보를 별도로 논의한다.