구글은 클라우드 보안 취약점 포상 프로그램(Cloud VRP)을 확대하여, 클라우드 환경에 대한 포괄적인 관리자 제어 권한을 획득하고 고객 간 격리를 우회할 수 있는 아키텍처 취약점을 대상으로 최대 25만 달러에 달하는 새로운 최고 포상금 카테고리를 신설했습니다.
최고 포상금 획득 조건
구글은 이번 포상금이 사전 접근 권한 없이 Google Cloud 내의 모든 조직이나 프로젝트에 대해 프로젝트 및 클라우드 조직 관리 권한('roles/owner')을 탈취하거나 ID 및 접근 관리(IAM)를 완전히 제어할 수 있는 능력을 입증하는 고도의 아키텍처 보안 연구를 겨냥한다고 밝혔습니다. 이 포상금을 받기 위해 회사는 악용 경로가 도난당한 계정, 사전 접근 권한, 또는 사회공학적 기법 및 인적 상호작용에 의존하지 않아야 한다는 조건을 내걸었습니다.
평가 기준에는 구글 생태계의 핵심 운영 인프라스트럭처인 Borg 시스템에서의 원격 코드 실행(RCE) 허용 취약점이나 프로덕션 루트 권한(Root-in-production) 획득도 포함됩니다.
서비스 중단을 막기 위한 엄격한 교전 규칙
Borg 시스템 내에서의 무단 코드 실행은 서비스 안정성과 멀티 테넌트 구독자의 데이터 무결성을 위협하므로, Google Cloud의 최고정보보호책임자(CISO)인 크리스 베츠는 초기 코드 실행이 입증되는 즉시 테스트를 완전히 중단해야 한다고 강조했습니다. 그는 권한 상승, 프로덕션 자격 증명 추출, 또는 네트워크 내 측면 이동 시도 등은 즉시 연구원의 자격 박탈 및 포상금 취소로 이어진다고 확인했습니다.
모의 해킹 중 운영상의 위험으로부터 실제 고객 계정을 보호하기 위해, 구글의 클라우드 취약점 포상 프로그램 리더인 마이클 코트는 전용 서비스 계정을 기반으로 하는 '루트 증명(Proof-of-root)'이라는 결정론적 검증 메커니즘이 설계되었다고 언급했습니다. 이를 통해 연구원들은 사용자 데이터를 침해하지 않고 해당 신원에 대한 무단 접근을 암호화 방식으로 증명할 수 있습니다.
보안 연구에서 인공지능의 영향
코트는 이러한 아키텍처 결함 발견과 테넌트 격리 우회는 이제 인간의 직관과 인공지능 기반 도구 및 에이전트 시스템(Agentic systems)을 결합하여 이루어진다고 설명했습니다. 구글의 데이터에 따르면, 자신의 직관과 에이전트 시스템을 결합하는 신진 연구원들은 과거에 비해 더 복잡한 취약점을 발견할 수 있게 되었으며, 이는 회사가 구조적 스캔 및 분석 능력의 이러한 발전에 발맞추어 재정적 인센티브의 가치를 높이도록 이끌었습니다.