오픈AI(OpenAI)가 보안 버그 바운티 프로그램의 포상금을 인상하고, 챗GPT(ChatGPT) 등 핵심 제품에서 발견된 예외적 치명적 취약점에는 보너스를 포함해 최대 17만2000달러를 지급하기로 했다. 오픈AI는 11월 3일 자사 블로그에서 독립 보안 연구자의 취약점 제보를 장려하기 위해 보상 체계를 개편한다고 밝혔다.
치명적 취약점 포상 상향
오픈AI는 중간·높음·치명적 등급 취약점의 포상 범위 중간값을 평균 4배 넘게 높였다. 챗GPT, 코덱스(Codex), API 플랫폼(API Platform) 등 핵심 제품에서 발견된 치명적 취약점에는 최대 3만달러를 지급한다. 이보다 심각한 예외적 취약점은 기본 포상금이 최대 10만달러이며, 추가 보너스를 합치면 최대 17만2000달러까지 받을 수 있다.
보상은 기본 포상금에 제보 품질, 연구자 등급, 우선순위 캠페인별 보너스 배율을 곱해 산정한다. 재현 가능한 개념증명으로 취약점과 악용 조건, 영향을 분명히 보여주는 제보는 품질 보너스를 받을 수 있다. 연구자가 꾸준히 프로그램에 참여하면 5단계 충성도 등급에 따른 보너스를 받을 수 있고, 새 기능을 대상으로 하는 단기 우선순위 캠페인에는 별도 보너스 풀이 마련된다. 따라서 최고 지급액은 모든 치명적 제보에 일괄 적용되는 금액이 아니라, 예외적 취약점에 여러 보너스가 더해진 경우의 상한이다.
보너스 계산과 소급 지급
오픈AI가 공개한 계산 사례에서 챗GPT의 치명적 취약점인 ‘한 번의 클릭으로 계정 탈취’ 제보는 과거 지급 사례의 6500달러보다 높은 5만1577달러로 산정됐다. 계산에는 기본 포상금 3만달러에 품질 보너스 15%, 우선순위 캠페인 보너스 30%, 충성도 보너스 15%가 반영됐다. 챗GPT 보안 경계를 크게 침해하는 예외적 사례는 기본 10만달러에 같은 종류의 보너스를 적용해 17만1925달러로 제시됐다. 회사는 사례별 금액과 과거 지급 사례가 설명을 위한 예시라고 밝혔다.
아직 포상금이 결정되지 않은 기존 제보에는 새 보상 범위를 적용한다. 발표 전 30일 동안 이미 지급된 포상금도 새 기준으로 계산했을 때 더 많은 금액을 받을 수 있었다면 기본 포상금과 충성도 보너스의 차액을 추가 지급한다. 오픈AI 보안팀은 11월 20~21일 오클랜드(Oakland)에서 열리는 프롬프트투폰(PROMPT2PWN)에 참석해 연구자들이 현장에서 대상 시스템을 시험할 수 있도록 할 예정이다. 회사는 자체 엔지니어가 모델을 활용해 취약점을 찾고 수정 사항을 시험하는 작업과 외부 연구자의 책임 있는 제보를 보안 체계의 일부로 설명했다.
