Rewarding defenders with bigger bug bounties
🖼️ 인포그래픽
🖼️ 4컷 인포그래픽
💡 한 줄 요약
OpenAI가 독립 보안 연구자의 책임 있는 취약점 공개를 장려하기 위해 Security Bug Bounty 보상을 높이고, 보고서 품질·지속적 참여·신규 기능 조사에 대한 보너스를 도입한다.
📌 핵심 요약
- 중간·높음·치명적 등급 보상 범위의 중간값을 평균적으로 기존의 4배 넘게 높이며, ChatGPT·Codex·API Platform 같은 핵심 제품의 치명적 취약점에는 최대 30,000달러를 지급한다.
- 핵심 제품의 예외적으로 중대한 치명적 취약점은 기존처럼 최대 100,000달러의 보상 대상이며, 보너스를 포함하면 최대 172,000달러까지 받을 수 있다.
- 취약점을 분리하고 악용 조건과 영향을 보여 주는 신뢰할 수 있는 개념 증명 등 고품질 보고서에 배수 보너스를 적용하며, 5단계 충성도 보너스와 신규 기능을 대상으로 하는 단기 우선순위 캠페인의 별도 보너스 재원도 도입한다.
- 이미 제출했지만 아직 보상이 결정되지 않은 보고서에는 새 보상 범위를 적용한다. 발표 전 30일 이내에 보상이 결정된 건은 새 기준의 기본 보상과 충성도 보상 합계가 더 크면 차액을 지급한다.
- OpenAI 보안팀은 11월 20~21일 Oakland의 PROMPT2PWN에 참여하며, 연구자들은 현장에서 대상을 시험하고 보안팀과 연구 내용 및 협력 방안을 논의할 수 있다.
🧩 주요 포인트
- 독립 연구자의 책임 있는 공개는 내부 시험을 보완하며, 모델로 약점을 찾고 재현하고 수정 사항을 시험하는 Defense Factory와 함께 OpenAI의 보안 모델을 구성한다.
- 기본 보상 인상에 품질·충성도·캠페인 보너스를 결합해, 수정에 유용한 보고서와 지속적 협력 및 신규 기능의 조기 조사를 장려한다.
- 미지급 보고서와 최근 보상 건에도 새 기준을 적용하지만, 이미 보상된 건의 차액 지급은 발표 전 30일과 기본 보상·충성도 보상이라는 조건에 묶인다.
🧠 상세 정리
1. 책임 있는 공개를 장려하는 보상 인상
OpenAI는 자체 시험에서 놓쳤을 수 있는 소프트웨어 취약점을 독립 연구자가 찾아내도록 Security Bug Bounty 보상을 높인다고 밝혔다. 책임 있는 공개에 대한 유인은 보안 모델의 핵심이며, 엔지니어가 모델로 약점을 찾고 재현하고 수정 사항을 시험하는 Defense Factory 활동을 보완한다. 중간·높음·치명적 등급 보상 범위의 중간값은 평균적으로 기존의 4배 넘게 높아진다. ChatGPT·Codex·API Platform 같은 핵심 제품의 치명적 취약점은 이제 최대 30,000달러의 보상을 받는다. 이들 대상의 예외적으로 중대한 치명적 취약점은 기존처럼 최대 100,000달러의 보상 대상이며, 보너스를 더하면 최대 172,000달러까지 받을 수 있다.
2. 보고서 품질과 지속적 참여에 대한 추가 보상
고품질 취약점 보고서는 기본 보상에 배수 보너스를 적용받을 수 있다. OpenAI는 취약점을 분리하고 악용 가능한 조건과 영향을 보여 주는 신뢰할 수 있는 개념 증명이 수정 작업을 빠르게 시작하는 데 도움이 된다고 설명한다. 품질 보너스는 발견 내용을 특히 유용하게 만드는 추가 노력을 인정하기 위한 것이다. 새 충성도 프로그램은 5단계로 구성되며, 지속적으로 협력하는 연구자에게 단계별로 확대되는 보너스를 제공해 장기적 관계를 지원한다. 신규 기능을 대상으로 하는 단기 우선순위 캠페인에는 별도의 보너스 재원을 마련해, 연구자가 새 기능을 일찍 시험하고 높은 보상을 받을 기회를 제공한다.
3. 예시로 제시한 보상 계산
OpenAI가 제시한 모든 시나리오와 과거 보상액은 설명을 위한 예시다. 핵심 자산인 ChatGPT에서 읽기 전용 구성원이 쓰기 권한 없이 Project에 파일을 올리는 중간 등급 취약점은 과거 750달러에서, 기본 2,000달러에 품질 1.15배와 Bronze 충성도 1.05배를 적용한 2,415달러로 제시된다. 비핵심 자산 Prism에서 IDOR로 사용자 Project에 업로드된 파일을 읽는 높은 등급 취약점은 과거 1,000달러에서, 기본 2,500달러에 품질 1.15배와 Gold 충성도 1.10배를 적용한 3,162.50달러로 제시된다. ChatGPT의 한 번 클릭으로 가능한 계정 탈취는 치명적 취약점의 예로, 과거 6,500달러에서 기본 30,000달러에 품질 1.15배·우선순위 캠페인 1.30배·31337 충성도 1.15배를 적용한 새 보상 51,577달러로 표기됐다. 임의의 ChatGPT 사용자 대화 메시지를 볼 수 있는 경우처럼 보안 경계가 심각하게 침해되는 예외적 취약점은 과거 100,000달러에서, 기본 100,000달러에 같은 세 배수를 적용한 171,925달러로 제시된다.
4. 기존 보고서 적용과 현장 교류
이미 제출된 보고서라도 아직 보상이 결정되지 않았다면 새 보상 범위를 적용한다. 발표 전 30일 이내에 보상이 결정된 취약점은 새 기준으로 더 높은 금액을 받을 수 있는 경우 차액을 지급하며, 이때 비교 대상은 기본 보상과 충성도 보상이다. OpenAI 보안팀은 11월 20~21일 Oakland에서 열리는 PROMPT2PWN에 참석하며, 연구자는 현장에서 대상을 시험할 수 있다. 보안팀은 참석 연구자와 진행 중인 연구 및 협력 방안을 논의하고 싶다는 뜻도 밝혔다. OpenAI는 취약점의 단서를 조사하고 보고한 연구자에게 감사를 전하며, 연구자들이 놓친 문제를 발견했을 때 다시 찾아오는 팀이 되겠다는 목표를 제시했다.
🧾 핵심 주장 / 시사점
- 보상 인상과 배수 보너스의 결합은 취약점의 심각도뿐 아니라 수정에 도움이 되는 보고서의 완성도에도 경제적 유인을 부여한다.
- 5단계 충성도 보너스와 단기 우선순위 캠페인은 각각 지속적 협력과 신규 기능의 조기 조사라는 서로 다른 참여 방식을 장려한다.
- 기존 보고서에도 새 보상을 적용하지만, 최근 지급 건의 차액 계산은 기본 보상과 충성도 보상으로 명시돼 있어 전체 보너스를 일괄 소급하는 것으로 해석하기는 어렵다.
✅ 액션 아이템
- 고품질 보고서 보너스에 맞춰 취약점의 분리·악용 조건·영향을 보여 주는 신뢰할 수 있는 개념 증명 준비.
- 미지급 보고서와 발표 전 30일 이내 보상 건의 새 보상 범위 적용 여부 및 기본 보상·충성도 보상 차액 확인.
- 11월 20~21일 Oakland의 PROMPT2PWN에서 대상 시험과 OpenAI 보안팀과의 협력 논의 참여 검토.
❓ 열린 질문
- 고품질 보고서의 배수 보너스는 어떤 기준으로 결정되는가?
- 5단계 충성도 보너스의 등급별 자격과 적용 기준은 무엇인가?
- 신규 기능을 대상으로 하는 단기 우선순위 캠페인의 대상과 기간은 어떻게 정해지는가?
