구글이 오픈소스 보안 제보 창구의 한 칸을 닫았습니다. 2026년 10월 1일부터 구글 OSS VRP는 제품 취약점 신규 접수를 받지 않습니다. 프로그램 전체가 끝난 것은 아닙니다. 공급망 보고와 이미 들어온 접수는 그대로 두고, 다음 안내를 2027년 1분기에 내겠다고 했습니다.
한눈에 결론
- 2026년 10월 1일부터 OSS VRP의 제품 취약점 신규 접수만 중단입니다.
- 10월 1일 이전 접수와 공급망 취약점 보고는 계속 처리·접수합니다.
- 일부 클라우드 저장소의 제품 이슈는 Cloud VRP로 보낼 수 있습니다. 모든 구글 오픈소스가 해당되지는 않습니다.
- 공식 계정이 밝힌 이유는 “자동 제출이 크게 늘었고, 대부분이 유효하지 않다”입니다. AI라는 단어는 규칙 페이지와 안내문에 없습니다.
- 다음 공식 업데이트는 2027년 1분기입니다. 그 전에 보상 표만 보고 신규 제품 취약점을 넣으면 접수되지 않습니다.
이번에 닫힌 접수, 그대로 열린 접수
구글 버그헌터 규칙 페이지는 이렇게 적습니다. “2026년 10월 1일부터 OSS VRP에 제출되는 제품 취약점은 더 이상 받지 않는다.” 같은 문단에서 10월 1일 이전 제품 취약점은 이번 변경의 영향을 받지 않는다고 못 박습니다. 공식 계정 @GoogleVRP도 10월 1일 안내에서 공급망 보고와 이미 진행 중인 접수(outstanding reports)는 영향이 없다고 밝혔습니다.
여기서 제품 취약점은, 구글 오픈소스를 쓰는 소프트웨어 빌드에서 사용자 데이터의 기밀성이나 무결성에 실질적으로 영향을 주는 설계·구현 결함을 가리킵니다. 메모리 손상, 권한 우회, 위험한 기본 설정처럼 그 프로젝트를 가져다 쓰는 제품 쪽으로 이어지는 이슈가 이 칸에 들어갔습니다. 공급망 취약점은 빌드 무결성이나 소스 저장소 자체가 흔들리는 쪽에 가깝습니다. 이번 중단은 앞의 칸만 닫고, 뒤의 칸은 열어 둔 조치입니다.
자주 묻는 질문
구글 OSS VRP가 완전히 종료됐나요?
아닙니다. 2026년 10월 1일 기준 중단은 제품 취약점 신규 접수입니다. 공급망 보고와 이전 접수는 유지됩니다.
AI가 원인이라고 구글이 말했나요?
공식 계정은 “자동 제출”이라고 했습니다. AI라는 단어는 그 게시와 규칙 페이지 중단 문단에 없습니다. AI 제출이라는 표현은 이후 보도입니다.
이미 넣은 보고는 무효가 되나요?
규칙 페이지는 10월 1일 이전 제품 취약점은 이번 변경의 영향을 받지 않는다고 적습니다. 개별 티켓의 판단까지 보장한다는 뜻은 아닙니다.
언제 다시 열리나요?
2027년 1분기에 업데이트를 주겠다는 약속만 있습니다. 재개일은 확정되지 않았습니다.
확인일: 2026년 10월 5일. 핵심 근거는 구글 버그헌터 OSS VRP 규칙 페이지와 @GoogleVRP의 10월 1일 안내입니다. 보상 금액과 접수 범위는 이후 규칙 개정으로 바뀔 수 있습니다.