오픈AI, 보안 취약점 신고 보상 확대…최대 17만2000달러는 조건부

오픈AI가 2일(현지시간) 자사 소프트웨어의 보안 취약점을 찾아 신고하는 연구자에게 주는 보상 범위를 확대했다. 챗GPT·코덱스·API 플랫폼 등 핵심 제품의 치명적 취약점은 기본 보상 상한이 3만달러이며, 예외적인 치명적 사례는 각종 추가 보상을 합쳐 최대 17만2000달러를 받을 수 있다고 회사는 밝혔다.

17만2000달러는 모든 치명적 취약점의 보상액이 아니다. 오픈AI 발표에 따르면 예외적 사례의 기본 보상 상한은 10만달러이고, 보고서 품질과 집중 점검 캠페인, 신고자의 누적 기여도에 따른 추가 보상을 모두 적용해야 더 높은 액수가 가능하다. 실제 등급과 지급액은 회사의 심사에 달려 있다.

신고 품질과 참여 이력에 추가 보상

오픈AI는 중간·높음·치명적 등급의 보상 구간 중간값을 평균적으로 4배 넘게 높였다고 밝혔다. 이는 모든 취약점의 보상이 일률적으로 4배가 됐다는 뜻은 아니다. 새 체계에는 재현 절차와 영향 범위가 분명한 보고서에 대한 품질 가산, 특정 기능을 집중 시험하는 기간의 추가 보상, 유효한 신고 이력에 따른 5단계 보상이 포함된다.

버그크라우드에 게시된 오픈AI의 현행 정책은 품질 가산을 최대 1.15배, 집중 점검 가산을 최대 1.30배로 제시한다. 누적 기여도 보상도 별도로 붙지만 자격 조건을 충족해야 한다. 정책은 모델의 답변만 바꾸는 탈옥 시도나 환각을 이 보안 취약점 신고 프로그램의 대상에서 제외한다. 제품 통제의 별도 결함이 입증되는 경우는 구분해 다룬다.

이미 접수됐지만 보상이 정해지지 않은 신고에도 새 보상 범위가 적용된다. 발표 전 30일 안에 보상을 받은 신고 가운데 새 기준으로 더 높은 금액이 인정되면 차액을 지급한다는 게 오픈AI의 설명이다.

외부 연구자와 보안 점검도 계획

회사는 같은 날 외부 보안 연구기관 캐시드럴과 다음 내부 보안 집중 점검을 준비한다고 발표했다. 연구진이 오픈AI 모델을 활용해 시스템을 시험한다는 계획이다. 새 점검의 시작일이나 발견된 취약점은 발표되지 않았다. 별도로 오픈AI가 지난 점검에 제품 엔지니어의 25%를 투입했다는 수치는 회사가 공개한 내부 활동 규모다.

미국 기술 매체 인터레스팅 엔지니어링도 이번 발표를 예정된 협업과 보상 정책 변경으로 구분해 보도했다. 보상 확대가 실제 취약점 발견이나 피해 감소로 이어졌는지는 아직 확인되지 않았다.

원문: https://openai.com/index/rewarding-defenders-with-bigger-bug-bounties/

정책: https://bugcrowd.com/engagements/openai

점검 발표: https://openai.com/index/preparing-our-next-security-sprint-to-harden-openai/

대표 이미지: AI 생성 이미지 / 데이마크