✦ guniq 시각
버그 바운티를 AI로 자동화해 3개월에 7억원을 벌었다는 사례는, 보안 연구의 수익화 모델이 완전히 바뀌었음을 보여준다. 방어하는 쪽에서도 같은 AI 도구로 자신의 취약점을 먼저 찾아야 한다는 압박이 그 어느 때보다 커졌다.
▲ 이미지 출처: GeekNews
AI를 시켜 Google의 API를 끊임없이 자동으로 탐지하게 한 결과, 3개월 만에 50만 달러(약 7억원)의 버그 바운티 수익을 올린 보안 연구 사례가 공개됐다. 60,000개 이상의 Android 앱에서 수집한 API 키와 Google API 명세서를 결합해, AI 에이전트가 취약점을 자동으로 발굴하는 방식이다.
방법론: AI 기반 자동화 버그 헌팅
연구자는 두 가지 데이터 소스를 활용했다. 첫째는 Google Play Store에 올라온 60,000개 이상의 Android 앱에서 추출한 API 키다. 앱에 하드코딩된 API 키는 놀랍도록 흔하다. 둘째는 Google의 공개 API 명세서(discovery document)로, Google이 제공하는 모든 API의 엔드포인트·파라미터·권한 구조를 담고 있다. AI 에이전트는 이 두 데이터를 결합해 각 API 키로 접근 가능한 기능과 권한의 범위를 자동으로 탐지했다.
3개월 50만 달러의 수익 구조
발견된 취약점들은 Google의 버그 바운티 프로그램(VRP)에 보고됐다. AI 에이전트가 24시간 자동으로 탐지하는 방식 덕분에 인간이 일일이 확인하기 어려운 규모의 취약점을 발굴할 수 있었다. 하나의 취약점이 수만 달러의 바운티로 이어지는 경우도 있었다.
AI는 단순히 코드를 쓰는 도구가 아니다. 보안 연구자에게는 취약점을 찾는 무기가 된다. 그리고 공격자에게도 마찬가지다.
이 연구가 보안 업계에 던지는 시사점
- API 키 하드코딩 금지 — Android 앱을 비롯한 모든 클라이언트 코드에 API 키를 직접 넣지 말 것
- 최소 권한 원칙 — API 키의 권한 범위를 최소화해 유출 시 피해 제한
- 방어자도 AI 활용 — 공격자가 AI로 취약점을 찾는다면, 방어자도 AI로 먼저 찾아야 한다
- 버그 바운티 프로그램의 진화 — AI 자동화로 발굴 속도가 빨라지면서 바운티 규모와 경쟁도 심화
출처: GeekNews | 발행일: 2026-06-23
