세계 최대 해킹 컨퍼런스 DEF CON 34의 버그바운티 빌리지(Bug Bounty Village)에서 열린 패널 토론에서 AI가 버그바운티 시장에 미치는 영향이 심도 있게 다뤄졌습니다. HackerOne, Synack, Bugcrowd 등 주요 버그바운티 플랫폼 담당자들은 AI 도입 이후 취약점 발견 속도와 검증·수정 속도 간의 격차가 핵심 문제라고 진단했습니다.
AI 도입 후 전체 취약점 제출량은 전년 대비 약 2배 증가했으며, 특히 치명적(Critical) 취약점은 약 3배 늘어났습니다. 하지만 유효 리포트 비율은 비슷하게 유지된 반면, HackerOne에서는 검증되었으나 아직 해결되지 않은 취약점이 21배, 미해결 치명적 취약점은 25배나 급증했습니다. 이에 따라 치명적 취약점 해결률은 83% 이상에서 40% 미만으로 크게 하락했습니다. 이러한 현상은 AI가 만들어내는 '환각 리포트'(존재하지 않는 취약점을 그럴듯하게 설명), '과도하게 긴 리포트'(핵심 정보가 불필요한 설명에 묻힘), 그리고 '자동 제출 리포트'(검증 없이 대량 전송) 등 세 가지 문제, 이른바 'AI 슬롭(AI slop)' 때문으로 분석됩니다. 이에 Bugcrowd는 반복적인 무효 제출 계정을 제재하고, HackerOne은 참여자 신원 확인을 의무화하는 등 정책을 변경하고 있습니다.
그럼에도 AI의 장점은 분명합니다. 비영어권 연구자의 언어 장벽을 낮추고, 대규모 엔드포인트 검사나 문서-구현 비교처럼 사람이 하기 어려운 연구를 가능하게 합니다. 실제로 한 팀은 AI 도입 후 4~5년간 놓쳤던 치명적 취약점 5개를 2주 만에 발견하기도 했습니다. 결국 중요한 것은 'AI 사용 여부'가 아니라 '어디까지 AI에 맡겼는가'입니다. 반복 탐색, 번역, 초안 작성은 AI에 맡기되, 공격 범위 결정, 재현, 심각도·영향도 판단, 최종 검토는 연구자가 직접 수행해야 합니다. 즉, '내가 직접 하지 않을 일이라면, 나의 AI에게도 시키지 말아야 한다'는 원칙이 버그바운티 시장에서 AI를 효과적으로 활용하는 핵심이 될 것입니다. 이는 보안 연구자들에게 AI를 보조 도구로 활용하는 새로운 전략과 윤리적 기준을 제시하며, 기업에게는 AI 시대의 취약점 관리 및 대응 전략 재정립을 요구하고 있습니다.