IT之家 10월 14일 소식에 따르면, 화웨이 보안 응급 대응 센터는 오늘 화웨이 단말기 보안 보상 프로그램과 관련된 후속 취약점 보고서 처리 규칙에 대한 공지를 발표했습니다.
공식 발표에 따르면, 올해 AI 도구를 활용하여 취약점을 탐지하는 보고서가 대량으로 접수되었으며, 그 중 대부분의 보고서에는 PoC(IT之家 주: 개념 증명, 특정 보안 취약점이 실제로 존재하고 액세스될 수 있음을 증명하는 코드, 스크립트, 요청 데이터 패킷 또는 상세 복제 단계)가 포함되어 있습니다. 그러나 AI의 “환각”으로 인한 오류 보고도 불가피하게 발생합니다.
제한된 심사 자원을 합리적으로 분배하기 위해, 화웨이 터미널 보안 보상 프로그램 심사 팀이 실제로 유용한 취약점에 집중할 수 있도록 하고, 건강하고 질서 있는 커뮤니티 생태계를 유지하기 위해 다음과 같은 요구 사항을 제시합니다:
1. 취약점 보고 요구 사항
AI 지원이나 자동화된 발견을 통해 발견된 취약점 보고서의 경우, 제출 전에 반드시 인간이 직접 분석 및 검증을 거쳐야 합니다. 우리는 백컨트리 사용자들이 완전한 EXP 공격 체인 검증을 제공하도록 권장하며, 보고서에 취약점이 실제로 가져오는 보안 영향에 대한 증거를 포함시켜 주시기 바랍니다. 이는 다음과 같은 내용을 포함할 수 있습니다.
동적으로 실행 가능한 완전한 PoC;
영향받은 제품, 시스템 버전 및 위험 설명 (참고: 취약점이 제품에 영향을 미치는 경우에는 보상 프로그램의 범위 내에 있어야 하며 최신 HarmonyOS 시스템 버전으로 업그레이드되어야 합니다.)
보고 내용은 명확하고 이해하기 쉬우며, 실행 단계도 간단명료합니다.
전체 로그 및 결과 스크린샷 / 데모 비디오;
공격 경로는 실제 공격 시나리오의 입구에서 시작되어야 하며, 실제적인 보안 영향이 발생함을 입증해야 합니다.
2. 불규칙한 행동
백색 모자가 보상 프로그램에 참여하는 전 과정에서 상호 존중을 유지해야 하며, 전문적이고 친절한 방식과 어조로 소통해야 합니다. 다음과 같은 행위는 금지됩니다:
지속적으로, 반복적으로, 대량으로 제출되는 AI가 직접 생성한, 인공적 재현이 불가능한, 최신 호출 가능한 인터페이스에 의해 트리거되지 않은, 부분적인 코드 조각의 수집된 분석 및 검증 없이 또는 실제 보안 효과를 입증할 수 있는 검증 결과가 제공되지 않는 무효 보고서들;
사실을 왜곡하거나 화웨이 단말기 보안 포상 프로그램을 악의적으로 비난하거나, 언어적 공격, 욕설, 협박, 직원에 대한 괴롭힘, 스팸 댓글 등의 악의적인 행위를 하는 것.
삼. 비규범적인 행동에 대한 처리
위의 제1항 행위에 대해, 플랫폼은 관련 보고서를 직접 거부할 것이며 거부 이유를 일일이 설명하지 않을 것입니다. 위와 같은 무효 보고서를 총 3건 제출한 계정에는 알림을 보내고, 총 5건에 달한 경우 플랫폼은 화웨이 안전 보상 프로그램 계정을 차단할 권리를 가집니다.
위에서 언급된 제2항의 행위에 대해, 화웨이 터미널 보안 보상 프로그램은 계정 소유자(팀/조직 포함)의 참여 자격을 즉시 중단하거나 영구적으로 차단할 권리를 가집니다.
또한, 공식적으로 도구 관련 취약점 접수 범위도 조정되었습니다.
2026년 9월 30일부터 Huawei 터미널 도구(예: DevEco 등)의 취약점은 접수하지 않습니다. 하지만 자체 개발 도구의 공개 공급망에 해를 끼칠 수 있는 취약점이나 해당 도구를 이용하여 Huawei 터미널 장비의 보안에 영향을 줄 수 있는 취약점을 발견하신 경우에는 여전히 제출할 수 있습니다. 우리는 취약점의 영향 등을 종합적으로 평가한 후 답변해 드릴 것입니다.