애플이 보안 취약점 신고 프로그램에 제출 상한선과 30일 냉각기를 새로 도입했다. 최근 대형언어모델(LLM)을 활용해 손쉽게 작성한 취약점 신고가 폭증하면서 실제 검증이 필요한 신고들이 뒤로 밀리는 부작용이 커졌기 때문이다.

애플은 파이낸셜타임스(FT)에 보낸 입장문에서 "업계 전반에서 AI가 생성한 보안 제보가 늘어남에 따라 연구자 한 명이 동시에 접수할 수 있는 신규 신고 건수를 최근 조정했다"며 "중요한 신고가 보안팀에 확실히 전달될 수 있도록 한도는 언제든 상향 요청이 가능하다"고 설명했다. 해당 조치는 지난 6월부터 시행됐다.

문제는 이 제한이 실제 위협까지 함께 걸러냈다는 점이다. 이탈리아 스타트업 바이나리오는 챗GPT를 활용해 공격자가 기기를 완전히 장악할 수 있는 심각한 macOS 취약점을 발견했지만, 접수 한도가 막혀 있어 신고 자체를 하지 못했다. 이 회사 최고경영자(CEO)는 해당 취약점의 암시장 가치를 10만~20만 달러(약 1억4000만~2억8000만원) 수준으로 추정했다.

보안 업체 소포스의 한 분석가는 "이제 버그바운티 프로그램의 핵심 업무가 '취약점 발굴'에서 'AI 속도로 진위를 가려내는 것'으로 바뀌었다"고 진단했다. 애플은 이번 사태 이후 바이나리오 측에 별도로 연락해 취약점 접수 문제를 해결한 것으로 알려졌다.

이번 조치는 깃허브가 최근 AI발 신고 급증에 대응해 버그바운티 제도를 등급별로 개편한 것과 비슷한 흐름이다. 아이러니하게도 애플은 지난달 보안 업데이트에서 오픈AI와 앤스로픽, 즈다이 등 AI 기업들의 도움으로 취약점을 발견했다고 공을 인정한 바 있어, AI가 보안 강화와 업무 마비를 동시에 부르는 '양날의 검'이 되고 있다는 지적이 나온다.