OpenAI 보안 버그 바운티 인상, 핵심 제품 치명적 취약점 최대 3만 달러

OpenAI가 11월 2일(현지시간) 보안 버그 바운티 프로그램의 보상 금액을 올렸다. 중간, 높음, 치명적 등급 취약점의 보상 범위 중간값은 평균 4배 넘게 높아졌다. ChatGPT, Codex, API Platform 같은 핵심 제품에서 치명적 취약점을 찾으면 이제 최대 3만 달러를 받는다.

이 대상에서 예외적으로 심각한 치명적 취약점은 기존대로 최대 10만 달러까지 보상받을 수 있고, 보너스를 더하면 최대 17만 2,000달러다. OpenAI는 자체 테스트가 놓친 취약점을 독립 연구자가 찾도록 유도하려는 조치라고 밝혔다. 자세한 보상표는 프로그램 페이지에 있다.

새로 생긴 보너스 세 가지

• 품질 보너스: 취약점을 분리해 보여 주고, 악용 가능한 시점과 영향까지 입증하는 신뢰할 만한 개념 증명(PoC)을 낸 보고서는 기본 보상에 배수를 곱해 받는다.
• 충성도 보너스: 5단계 등급제로, 꾸준히 협력한 연구자에게 보너스가 단계별로 커진다.
• 우선 캠페인 보너스: 새로 출시한 기능에 별도 보너스 풀을 두고 단기 캠페인을 연다. 연구자는 신기능을 일찍 시험해 높은 보상을 노릴 수 있다.

OpenAI가 든 계산 예시에서는 ChatGPT(핵심 자산)의 중간 등급 취약점이 기본 2,000달러에 품질 보너스 1.15배, 브론즈 등급 1.05배를 적용받아 2,415달러가 된다. 이전 사례는 750달러였다. 원클릭 계정 탈취 같은 치명적 취약점은 기본 3만 달러에 품질 1.15배, 우선 캠페인 1.30배, 31337 등급 1.15배를 곱해 5만 1,577달러다. 이전 사례는 6,500달러였다. 예시는 모두 설명용이다.

이미 제보했지만 아직 보상이 정해지지 않은 건에는 새 보상 범위가 적용된다. 발표 전 30일 안에 보상을 받았고 새 기준으로 더 받을 수 있는 경우에는 기본 보상과 충성도 보상 기준으로 차액을 지급한다.

OpenAI 보안팀은 11월 20~21일 미국 오클랜드에서 열리는 PROMPT2PWN에 참석해 연구자들이 대상 제품을 현장에서 시험하도록 한다. OpenAI는 엔지니어가 자사 모델로 약점을 찾고 재현하며 수정까지 시험하는 Defense Factory 작업과 책임 있는 공개 장려를 함께 보안 체계의 축으로 삼는다고 설명했다.