ZCG 취약점 바운티 프로그램 종료

Zcash Community Grants(ZCG)가 ZCG 보안 및 취약점 공개 이니셔티브와 ZCG 취약점 바운티 프로그램을 즉시 종료한다고 발표했다. 이유는 AI 보조 개발·분석 도구가 취약점을 찾고 보고하고 수정하는 방식을 바꿔 놓았기 때문이다. 방어자에게 AI는 보안 불변식이 적용된 모든 위치를 찾거나 구현 간 유사한 로직을 비교하는 범위가 좁은 작업에서 기회가 되지만, 같은 변화가 취약점 공개의 경제성도 바꾼다고 설명한다.

과거 며칠에서 몇 주가 걸리던 조사를 이제 몇 시간 만에 시도할 수 있어, 잘 검증된 보고서에는 이롭지만 추측성이거나 중복되거나 AI가 환각으로 만든 제출이 쏟아지면 사람이 선별하는 부담이 커진다. ZCG는 curl 프로젝트의 사례를 든다. Daniel Stenberg는 2026년 초 AI 슬롭 보고서의 폭증과 확인된 취약점 비율 급감으로 금전 바운티를 종료했고, 몇 달 뒤 인센티브가 바뀐 뒤에는 슬롭 문제가 대체로 사라지고 거의 모든 보고가 AI를 쓰면서도 품질이 높아졌다고 평가했다.

ZCG는 첫 단계가 끝났고 이 기간 새 도구와 모델이 만든 단기 위험을 줄였다고 본다. 프로그램은 중요한 문제를 찾아 해결하는 데 기여했지만, 바운티 모델이 여러 Zcash 저장소에서 중복되고 신호가 약하며 추측성인 제출을 계속 늘리고 있다. 모든 보고는 이해될 때까지 신중히 다뤄야 해서 수정, 감사, 릴리스 같은 사용자 보호 작업에서 엔지니어링 역량을 빼앗는다. 현재 조건에서는 지금 같은 공개 복권식 구조에 인센티브를 줄 수 없다고 한다.

책임 있는 공개 절차는 계속 열려 있으며, 유효하고 재현 가능한 취약점은 적절한 비공개 채널로 보고해 달라고 당부한다. 종료 이전에 제출된 보고는 제출 당시 조건으로 처리한다. Least Authority는 계속 Zcash 생태계 보안 리드로서 감사, 취약점 조율, 전문가 자문을 맡으며 ZCG는 감사에 AI를 접목하는 작업에 자금을 댄다. 또 Zellic과 LLM 분석과 정적 분석을 결합한 AI 보조 감사 플랫폼 V12 이용을 협의 중이다.