애플, 취약점 동시 제보 제한…AI 보고 검증 강화

애플($AAPL)이 단일 보안 연구자가 동시에 제출할 수 있는 취약점 보고 건수를 제한했다. 생성형 AI로 취약점을 빠르게 찾을 수 있게 되면서 보고의 양보다 재현 가능성과 검증 품질을 우선하는 방향으로 기준을 강화한 것이다.

이탈리아 밀라노의 보안 스타트업 Bynario는 애플의 취약점 보고 제한에 걸렸다고 주장했다. 파이낸셜타임스는 Bynario가 오픈AI(OpenAI)의 챗GPT(ChatGPT)를 활용해 최신 맥OS(macOS)에서 3주 동안 50개가 넘는 취약점을 발견했다고 보도했다.

알프레도 페솔리(Alfredo Pesoli) Bynario 최고경영자는 이 가운데 하나가 공격자에게 맥 기기 전체의 제어권을 줄 수 있는 권한 상승 체인이라고 밝혔다. 그는 해당 취약점의 범죄 시장 가치를 10만~20만 달러(약 1억5000만~2억9000만원)로 추산했다. 다만 애플이 이 미제출 취약점을 공식 취약점으로 인정했는지는 확인되지 않았다.

애플 보안 바운티 가이드라인은 완전하고 실행 가능한 보고서에 취약점 설명과 작동하는 익스플로잇 또는 신뢰할 수 있는 개념증명(PoC), 재현 절차가 필요하다고 명시한다. AI 도구로 발견했더라도 사람이 제대로 검증하지 않은 이론적 취약점은 보상 대상에서 제외한다.

반복적인 부적격 보고에 대한 제재도 마련했다. 애플은 이론적 취약점이나 검증되지 않은 AI 생성 보고를 반복 제출하면 180일 동안 보고 처리를 중단할 수 있다고 안내했다. 같은 문제가 두 차례를 넘으면 애플 보안 바운티 프로그램에서 영구 제외될 수 있다.

애플이 AI 기반 취약점 탐지 자체를 배제한 것은 아니다. 애플은 6월 29일 배포한 macOS Tahoe 26.5.2 보안 업데이트에서 웹킷(WebKit) 취약점 CVE-2026-43716과 CVE-2026-43707의 발견자 명단에 오픈AI 코덱스 시큐리티(OpenAI Codex Security)를 올렸다. AI를 활용한 소프트웨어 보안 점검은 애플을 포함한 주요 기술 기업에서도 진행되고 있다.

Bynario도 2025년 11월 기술 글에서 자사 AI 시스템이 맥OS의 Model I/O 구성요소에서 CVE-2025-43377 취약점을 발견했다고 밝혔다. 이 취약점은 glTF 파일 처리 과정의 경계 검사 누락에서 비롯됐으며 자동 분석과 검증을 거쳤다는 설명이다.

맥OS 권한 상승과 웹킷 취약점은 지갑 앱과 거래소 웹서비스, 키 관리 도구를 이용하는 개인의 보안 환경과 맞닿아 있다. 애플이 7월 27일 배포한 macOS Tahoe 26.6 보안 문서에도 클로드(Claude)와 앤스로픽 리서치(Anthropic Research)가 협업해 발견한 취약점 사례가 포함됐다.