GitHub는 버그 바운티 프로그램을 유지하되, 제출량 증가와 검증되지 않은 보고서 확산에 대응해 심사 기준을 강화하겠다고 밝혔다. AI·스캐너 사용 자체는 환영하지만, 연구자가 실제 영향을 재현하고 검증할 책임이 있다는 점을 강조한다. 또한 사용자가 악성 콘텐츠를 직접 선택·실행하는 경우에는 GitHub의 보안 경계를 우회한 취약점이 아니라 공유 책임 영역으로 보는 원칙을 설명한다.
## 제출량 증가와 품질 문제
- AI와 새로운 보안 도구로 보안 연구 진입 장벽이 낮아지면서 업계 전반의 버그 바운티 제출량이 크게 증가했다.
- 정당한 취약점이 늘어난 긍정적 효과도 있지만, 다음과 같은 저품질 보고서도 급증했다.
- 실제 동작하는 개념 증명(PoC)이 없음
- 검증되지 않은 이론적 공격 시나리오
- GitHub가 이미 공개한 부적격 항목에 해당
- 보안 영향이 구체적으로 입증되지 않음
- GitHub는 프로그램을 중단하는 대신 제출 품질을 높이는 방향으로 대응한다.
## 강력한 취약점 보고서의 조건
- **작동하는 PoC와 실제 보안 영향**
- 단순히 “이론적으로 가능하다”고 설명하는 데 그치지 않아야 한다.
- 공격자가 실제로 무엇을 할 수 있는지 재현해야 한다.
- 보안 경계를 넘을 수 있다는 사실과 구체적인 결과를 보여줘야 한다.
- **범위와 부적격 항목 확인**
- 제출 전에 GitHub의 버그 바운티 범위와 부적격 목록을 검토해야 한다.
- DMARC/SPF/DKIM 설정 문제, 사용자 열거, 공격 경로가 입증되지 않은 보안 헤더 누락 등은 부적격 사례다.
- 이런 보고서는 “해당 없음(Not Applicable)”으로 종료될 수 있으며 HackerOne Signal과 평판에 영향을 줄 수 있다.
- **제출 전 직접 검증**
- 스캐너, 정적 분석 도구, AI가 발견한 결과라도 사람이 재현하고 확인해야 한다.
- 검증되지 않은 오탐은 트리아지 리소스를 낭비하는 잡음에 불과하다.
## AI 활용은 허용되지만 책임은 연구자에게 있음
- GitHub는 AI를 보안 연구에 사용하는 것을 금지하지 않는다.
- AI는 공격 표면을 탐색하고 후보 취약점을 찾는 생산성 도구로 활용될 수 있다.
- 다만 AI가 생성한 결과도 다음 조건을 충족해야 한다.
- 실제 환경에서 검증
- 재현 가능성 확인
- 작동하는 PoC 제공
- 구체적인 보안 영향 설명
- AI뿐 아니라 스캐너와 정적 분석 도구의 결과에도 동일한 기준이 적용된다.
- 도구가 아니라 결과물의 정확성과 품질이 평가 대상이며, 보고서의 정확성에 대한 최종 책임은 연구자에게 있다.
## 간결하고 구조화된 보고서 작성
강한 보고서는 다음 세 요소를 포함해야 한다.
- **짧은 문제 요약**
- **명확한 재현 절차와 증거**
- 스크린샷
- HTTP 요청
- 터미널 출력 등
- **영향 설명**
- 공격자가 실제로 달성할 수 있는 결과를 구체적으로 기술
반대로 긴 이론적 서술, 이미 알려진 배경의 반복, AI가 생성한 불필요한 문장은 핵심 취약점을 묻히게 해 처리 속도를 늦춘다.
## GitHub의 공유 책임 보안 모델
GitHub는 악성 콘텐츠를 탐지하고 처리하기 위해 자동 스캐닝과 수동 검토 등 다양한 방어 체계를 운영한다. 그러나 모든 콘텐츠를 사전에 신뢰할 수 있는 것은 아니므로, 사용자와 GitHub가 보안을 함께 책임지는 공유 책임 모델을 적용한다.
사용자에게 기대되는 책임은 다음과 같다.
- 신뢰할 저장소, 이슈, 코드를 신중하게 선택
- 코드·스크립트·워크플로 등 실행 가능한 콘텐츠를 실행하기 전 검토
- 저장소를 클론하는 행위가 해당 코드에 대한 신뢰를 선택하는 것임을 이해
- 토큰, 자격 증명, 로컬 보안 설정을 안전하게 관리
사용자가 악성 저장소를 직접 클론하거나, 악성 파일을 열거나, 신뢰하지 않는 코드를 AI 도구에 분석하도록 제공해야만 문제가 발생한다면, 이는 대체로 GitHub의 보안 통제를 우회한 사례로 간주되지 않는다.
## 공유 책임 영역의 대표 사례
- 사용자가 직접 AI 도구에 제공한 콘텐츠를 이용한 프롬프트 인젝션
- 사용자가 체크아웃한 저장소에서 Git 훅이나 필터가 코드 실행
- 사용자가 클론한 저장소에 포함된 악성 콘텐츠
- 사용자가 제공한 신뢰할 수 없는 입력을 처리하는 LLM의 예기치 않은 출력
이러한 연구도 가치가 있지만, 실제 보안 통제를 우회해 사용자가 악성 콘텐츠를 적극적으로 신뢰하지 않아도 피해가 발생하는지 입증해야 의미 있는 취약점 보고서가 된다.
실무적으로는 AI나 자동화 도구를 적극 활용하되, 제출 전 반드시 수동 재현과 영향 검증을 수행하는 것이 좋다. 보고서는 “요약-재현 절차-실제 영향” 중심으로 간결하게 작성하고, GitHub의 범위·부적격 목록과 사용자 신뢰가 전제된 보안 모델을 먼저 확인해야 한다.
