OpenAI의 보안 버그 바운티 프로그램 보상금을 인상합니다. 독립 보안 연구자들이 OpenAI의 테스트에서 놓쳤을 수 있는 소프트웨어 취약점을 더욱 적극적으로 찾아 나설 수 있도록 지원하기 위해서입니다. 완성도 높은 취약점 보고서를 제출한 연구자에게 더 많은 보상을 제공하는 새로운 인센티브도 도입합니다.
독립 보안 연구자들은 업계 전반의 기술을 보호하는 데 필수적인 역할을 합니다. OpenAI는 책임 있는 취약점 공개에 인센티브를 제공하는 것을 보안 체계의 핵심으로 삼고 있습니다. 이는 엔지니어들이 OpenAI 모델로 취약점을 찾고 재현하며 수정 사항을 테스트하는 Defense Factory 활동을 보완합니다.
이번 개편은 연구자들의 참여와 역량 강화를 지원하고, 커뮤니티를 중심으로 협력하는 보안 환경을 지속적으로 구축하기 위한 것입니다.
심각도가 중간, 높음, 치명적 수준인 취약점의 보상금 범위 중간값을 평균 4배 이상으로 높입니다. 이제 ChatGPT, Codex, API 플랫폼 등 핵심 제품의 치명적인 취약점에는 최대 $30,000의 보상금이 지급됩니다. 이러한 제품에서 발견한 치명적 취약점 중 특별히 중대한 사안에는 기존과 같이 최대 $100,000이 지급되며, 이제 보너스까지 포함하면 최대 $172,000을 받을 수 있습니다. 자세한 내용은 OpenAI 보안 버그 바운티 프로그램(새 창에서 열기)에서 확인할 수 있습니다.
완성도 높은 보고서에는 기본 보상금에 보너스 배율을 적용할 수 있습니다. 버그를 명확히 분리해 재현하고, 악용 가능한 조건과 그 영향을 입증하는 신뢰할 수 있는 개념 증명은 문제 해결에 착수하는 데 큰 도움이 됩니다. 품질 보너스 배율은 취약점 제보의 활용도를 한층 높이는 추가적인 노력을 인정하기 위한 것입니다.
장기적인 협력 관계를 구축하고 보안 커뮤니티를 지속적으로 지원하기 위해 등급별 로열티 보너스 프로그램을 도입합니다. 이 프로그램은 5개 등급에 따라 보너스가 늘어나는 방식으로, 모두를 위한 더 안전한 AI 기술을 만들기 위해 꾸준히 협력하는 연구자들의 기여를 인정하고 지원하며 기립니다.
기술 발전에 발맞춰 커뮤니티의 참여를 지원하기 위해, 우선순위 캠페인에서는 새로 출시된 기능을 위한 별도의 보너스 재원을 마련합니다. 이러한 단기 캠페인은 연구자들에게 새로운 기능을 조기에 테스트하고 높은 보상을 받을 기회를 제공하며, 초기 기여를 인정받을 수 있도록 합니다.
취약점 예시 | 기존 보상금 예시 | 새 보상금 계산 예시 | 새 보상금 |
중간 - ChatGPT(핵심 자산): 읽기 전용 구성원이 쓰기 권한 없이 프로젝트에 파일을 업로드할 수 있음. | $750 | $2,000 × 품질 보너스 1.15 × 브론즈 로열티 등급 보너스 1.05 | $2,415 |
높음 - Prism(비핵심 자산): IDOR로 인해 사용자 프로젝트에 업로드된 파일을 읽을 수 있음 | $1,000 | $2,500 × 품질 보너스 1.15 × 골드 로열티 등급 보너스 1.10 | $3,162.50 |
치명적 - ChatGPT(핵심 자산): 제로 클릭 계정 탈취. | $6,500 | $30,000 × 품질 보너스 1.15 × 우선순위 캠페인 보너스 1.30 × 31337 로열티 등급 보너스 1.15 | $51,577 |
특별히 중대 - ChatGPT(핵심 자산): 보안 경계의 중대한 침해(예: 임의의 ChatGPT 사용자 채팅 메시지를 볼 수 있음). | $100,000 | $100,000 × 품질 1.15 × 우선순위 캠페인 1.30 × 31337 로열티 1.15 | $171,925 |
모든 시나리오와 기존 보상금은 설명을 위한 예시입니다.
이미 보고서를 제출했지만 아직 보상금을 받지 못했다면 새로운 보상금 범위를 적용합니다. 이번 발표 이전 30일 동안 보상금을 지급한 건의 경우, 새로운 범위에서 더 높은 보상금(기본 보상금 + 로열티 보상금)을 받을 수 있는 제보라면 그 차액을 지급합니다.
11월 20~21일, OpenAI 보안팀이 오클랜드에서 열리는 PROMPT2PWN(새 창에서 열기)에 참가합니다. 연구자들은 현장에서 대상 시스템을 직접 테스트할 수 있습니다. 참석하신다면 현재 진행 중인 연구와 함께 협력할 방법에 대해 이야기 나누고 싶습니다.
시간을 내어 취약점의 단서를 조사하고 제보해 주신 모든 분께 감사드립니다. 저희가 놓친 문제를 발견했을 때, 다시 찾고 싶은 팀이 되겠습니다.
