요즘 AI 이야기가 워낙 많다 보니 웬만한 뉴스에는 놀라지도 않게 됩니다. 구글 AI 해킹. 그런데 얼마 전 보안 업계에서 정말 흥미로운 사례가 하나 공개됐습니다. 단순히 AI로 글을 쓰거나 코딩을 하는 수준이 아니라, AI에게 구글의 수천 개 API를 자동으로 테스트하게 만들었더니 약 3개월 만에 50만 달러(한화 약 7억 원)가 넘는 버그 바운티를 벌어들였다는 이야기였습니다.
솔직히 처음에는 “설마?” 싶었습니다. 그런데 내용을 자세히 들여다보니 더 놀라웠습니다. 화려한 해킹 기술 때문이 아니라 사람이 하기엔 너무 방대한 작업을 AI가 쉬지 않고 반복하면서 숨어 있던 취약점을 찾아낸 것이 핵심이었거든요.
이번 사례는 단순한 성공담이 아닙니다. 앞으로 AI가 보안 업계에서 어떤 역할을 하게 될지 보여주는 중요한 사건이라고 생각합니다.
AI 버그헌팅은 어떻게 시작됐을까?
2025년 한 보안 연구자는 구글을 대상으로 다시 본격적인 취약점 연구를 시작했습니다. 계기는 의외로 단순했습니다. AI를 활용한 자동화 프로젝트를 만들던 중, 구글 API를 대규모로 테스트하는 작업에 AI를 활용하면 엄청난 결과를 얻을 수 있을 것 같다는 아이디어가 떠오른 것입니다.
핵심은 구글의 Discovery Document였습니다.
쉽게 말하면 API 설명서입니다. 어떤 주소로 요청을 보내야 하는지, 어떤 데이터가 필요한지, 어떤 응답이 돌아오는지 모두 기계가 읽을 수 있는 형태로 정리된 문서죠.
문제는 공개 API뿐 아니라 일반 사용자들이 잘 모르는 내부 API까지 상당수가 존재한다는 점이었습니다.
보안 연구자는 AI에게 API 구조를 이해시키고 사람처럼 요청을 보내도록 구성했습니다. 그리고 수천 개 API를 대상으로 접근 권한 검증이 제대로 이루어지는지 반복적으로 확인하도록 만들었습니다.
사람이 했다면 수년이 걸렸을 작업을 AI는 며칠 만에 처리했습니다.
정말 무식할 정도로 많이요.
그러고 보니 예전에 저도 회사 프로젝트에서 수백 개 API 문서를 검토해야 했던 적이 있었는데 하루 만에 포기했던 기억이 납니다. 사람은 지치지만 AI는 그렇지 않다는 점이 이번 사례의 핵심이었습니다.
6만 개 앱에서 API 키를 수집한 이유
AI가 API를 테스트하려면 먼저 접근 권한이 필요했습니다.
그래서 연구팀은 무려 61,200개의 Android 앱을 분석했습니다. 모든 버전의 APK 파일을 다운로드한 뒤 압축을 해제하고 API 키를 추출하는 방식이었습니다.
흥미로운 점은 하나의 API 키가 여러 서비스에 동시에 연결된 경우가 많았다는 사실입니다.
이 과정을 통해 연구팀은 1,500개 이상의 API 명세서를 확보했습니다.
여기서 중요한 점은 특별한 해킹 기술보다 데이터 수집 능력이 더 중요했다는 것입니다.
많은 사람들이 해킹이라고 하면 영화 속 장면처럼 복잡한 공격을 떠올립니다.
하지만 실제 보안 연구에서는 이런 단순 반복 작업이 훨씬 더 큰 성과를 만드는 경우가 많습니다.
🌐 Google Discovery API 공식 문서
바로가기 >>>AI는 어떤 방식으로 취약점을 찾았을까?
AI가 실제로 수행한 작업은 생각보다 단순했습니다.
각 API에 요청을 보내고 응답을 분석한 뒤 정상 사용자라면 접근할 수 없는 데이터가 노출되는지를 확인하는 방식이었습니다.
예를 들어 이런 패턴을 찾았습니다.
- 인증 없이 데이터 조회 가능
- 권한 검사 누락
- 테스트 서버가 실제 데이터 사용
- 내부 API가 외부에 공개
- GraphQL 검증 우회 가능
- 접근 제어 없는 관리자 기능
초기에는 문제가 많았습니다.
AI가 정상 동작을 취약점으로 오인하는 경우도 있었고, 중요하지 않은 오류를 계속 보고하기도 했습니다.
그래서 연구자는 AI가 반드시 재현 가능한 증거를 제출하도록 시스템을 수정했습니다.
버그를 발견하면 해당 API 요청을 한 번의 클릭으로 다시 실행해 검증할 수 있게 만든 것입니다.
이 과정 덕분에 AI의 오탐률이 크게 줄었고 실제 취약점을 찾아내는 정확도는 50% 이상으로 올라갔다고 합니다.
사실 여기서 가장 인상 깊었던 건 AI의 창의성이 아니라 끈기였습니다.
사람이라면 몇 시간 만에 지쳤을 작업을 AI는 수십만 번 반복했으니까요.
실제로 발견된 충격적인 취약점들
AI가 찾아낸 취약점 가운데 일부는 상당히 심각했습니다.
특히 구글 보이스 관련 취약점은 업계를 놀라게 만들었습니다.
일부 API에서는 권한 검증이 전혀 이루어지지 않아 특정 계정 정보를 조회할 수 있었고, 특정 조건에서는 개인정보까지 노출될 가능성이 확인됐습니다.
또 다른 사례로는 비공개 유튜브 영상 노출 문제가 있었습니다.
영상 업로드 과정에서 생성되는 내부 식별자를 통해 공개되지 않은 영상 정보를 추적할 수 있었던 것입니다.
이 외에도 다음과 같은 사례들이 보고되었습니다.
- YouTube 비공개 영상 정보 노출
- Google Voice 계정 정보 접근
- DRM 키 관리 시스템 노출
- 내부 직원용 플랫폼 접근 가능
- 클라우드 콘솔 GraphQL 우회
- App Engine 로그 노출
- Vertex AI 설정 정보 유출
놀라운 점은 대부분이 초고급 해킹 기술 때문이 아니었다는 것입니다.
권한 검사 누락.
바로 이것 때문이었습니다.
보안 업계가 얻은 가장 중요한 교훈
이번 사례가 의미 있는 이유는 단순히 7억 원을 벌었기 때문이 아닙니다.
AI가 보안 전문가를 대체했다는 의미도 아닙니다.
오히려 반대에 가깝습니다.
AI는 사람이 해야 할 일을 대신 생각해 준 것이 아니라 사람이 하기 힘든 반복 작업을 끝없이 수행했습니다.
보안 전문가들은 흔히 “공격자는 한 번만 성공하면 된다”고 말합니다.
하지만 이번 사례는 방어자 역시 AI를 활용하면 수천 번의 검증을 수행할 수 있다는 사실을 보여줬습니다.
결국 미래 보안은 사람과 AI가 협력하는 방향으로 흘러갈 가능성이 높아 보입니다.
AI 버그헌팅 시대, 앞으로 무엇이 달라질까?
AI 기반 버그헌팅은 이제 시작 단계에 불과합니다.
현재는 API 테스트 중심이지만 앞으로는 웹 서비스, 모바일 앱, 클라우드 인프라, 생성형 AI 서비스까지 적용 범위가 넓어질 가능성이 높습니다.
특히 다음 영역에서 큰 변화가 예상됩니다.
- 자동 취약점 탐지 시스템 확대
- AI 기반 침투 테스트 자동화
- 실시간 보안 모니터링
- 클라우드 권한 분석 자동화
- AI 보안 감사 서비스 등장
- 버그 바운티 시장 확대
다들 AI가 개발자를 대체할지 이야기하지만, 실제 현장에서는 이런 반복 작업 자동화가 훨씬 큰 변화를 만들고 있습니다.
우리 사이에서만 말하자면, 이번 사례를 보면서 느낀 건 하나였습니다.
결국 최고의 무기는 천재적인 아이디어보다도 포기하지 않고 끝까지 확인하는 끈기라는 사실 말입니다. 그리고 이제 그 끈기를 AI가 대신 제공하는 시대가 시작되고 있는 것 같네요.
🔗 참고 자료
자주 묻는 질문 (FAQ)
Q1. 정말 AI만으로 7억 원을 벌 수 있었나요?
A. AI가 모든 작업을 수행한 것은 아닙니다. 연구자가 테스트 환경을 구축하고 결과를 검증했으며, AI는 대규모 반복 작업을 자동화하는 역할을 담당했습니다.
Q2. 이것은 불법 해킹인가요?
A. 아닙니다. 구글의 버그 바운티 프로그램 범위 내에서 수행된 합법적인 보안 연구 활동입니다.
Q3. 버그 바운티란 무엇인가요?
A. 기업이 보안 취약점을 발견해 신고한 연구자에게 보상금을 지급하는 제도입니다.
Q4. AI가 보안 전문가를 대체하게 될까요?
A. 현재로서는 대체보다는 보조 역할에 가깝습니다. 판단과 검증은 여전히 사람이 담당합니다.
Q5. 일반인도 버그 바운티에 참여할 수 있나요?
A. 가능합니다. 다만 법적 범위를 준수하고 서비스 제공자의 정책 안에서만 연구해야 합니다.
마무리
이번 사례는 AI가 얼마나 똑똑한지를 보여준 사건이라기보다, 얼마나 지치지 않고 반복할 수 있는지를 보여준 사례에 가깝습니다. 수천 개 API를 대상으로 끝없이 검증을 수행하고, 사람이 놓칠 수 있는 단순한 실수를 찾아낸 결과가 결국 수억 원의 보상으로 이어졌습니다.
앞으로 보안 업계는 물론 개발과 운영 분야에서도 이런 자동화 방식이 더욱 확대될 가능성이 높습니다. 여러분은 AI가 보안 연구의 판도를 바꿀 것이라고 생각하시나요? 의견이 있다면 댓글로 함께 이야기해 주세요. 흥미로운 사례가 나오면 계속 정리해보겠습니다.
