OpenAI가 버그 바운티 최대 상금을 17만2천 달러로 높인다

OpenAI가 자사 제품의 취약점을 알려주는 외부 연구자에게 주는 보상금 규모를 크게 키웠다. ChatGPT나 Codex처럼 핵심 서비스에서 심각한 결함을 찾아내면 최대 3만 달러를 받을 수 있고, 여러 조건이 겹치면 총액이 17만2천 달러 안팎까지 올라간다. 버그 바운티 프로그램을 굴리는 기업이 보안 인력 확보에 쓰는 비용을 몇 배로 늘리겠다고 선언한 셈이다.

보상 체계는 여러 층으로 나뉜다. 기본 보상은 기존 대비 네 배 수준으로 인상됐고, 통상적인 범위를 넘어서는 뛰어난 발견에는 최대 10만 달러가 별도로 붙는다. 여기에 보고서 품질 평가와 장기 참여도, 특정 기간에 열리는 캠페인 보너스가 더해져 최종 상한이 17만2천 달러 근처까지 형성된다. 5단계짜리 로열티 프로그램이 새로 들어온 것도 눈에 띄는 변화다. 신기능이 나오는 시점에 맞춰 보상을 일시적으로 올리는 캠페인도 함께 돌아간다.

이미 신고한 사람도 손해를 보지 않는다. 최근 30일 안에 취약점을 제보한 연구자에게는 인상 전과 인상 후의 차액이 소급 적용된다.

업계 기준으로 보면 OpenAI의 보상 수준은 구글의 일반 취약점 보상 프로그램과 비슷한 구간에 들어섰다. 다만 애플이나 마이크로소프트가 운영체제 수준의 익스플로잇에 걸어둔 최상위 보상에는 아직 미치지 못한다. 웹 서비스와 API가 중심인 OpenAI의 공격 표면이 OS 커널과 성격이 다르다는 점을 감안하면 무리한 비교는 아니지만, 절대 금액만 놓고 보면 여전히 아래쪽이다.

프로그램 확대와 별개로 내부 점검도 예정돼 있다. 보안 업체 캐시드럴(Cathedral)이 OpenAI 자체 엔지니어들과 함께 시스템을 집중적으로 두들기는 보안 스프린트를 진행한다. 직전 스프린트에서는 OpenAI 제품 엔지니어의 25%가 취약점 탐색 작업에 투입됐다.

배경에는 생성형 AI 서비스가 본격적인 공격 대상으로 떠오른 흐름이 있다. 모델과 에이전트가 실제 코드를 실행하고 외부 도구를 호출하면서 전통적인 웹 취약점 너머로 공격면이 넓어졌다. 기업이 내부 인력만으로 모든 경로를 검증하기 어려워지자 외부 연구자의 눈을 사들이는 쪽으로 비용 구조를 바꾼 것이다.

개발자 입장에서 실질적인 변화는 두 갈래다. 우선 자사 서비스가 ChatGPT나 Codex와 맞닿아 있다면 취약점 제보가 곧 수익으로 이어지는 통로가 넓어졌다. 인증 우회나 프롬프트 인젝션처럼 AI 서비스 특유의 결함을 다뤄본 경험이 있다면 보상 단가가 이전과 다르게 계산된다는 뜻이다. 다른 한편으로 로열티 등급과 캠페인 일정이 생기면서 꾸준히 참여하는 연구자와 그때그때 몰려드는 연구자 사이의 보상 격차는 더 벌어질 수 있다.

주의할 점도 분명하다. 17만2천 달러는 기본 보상이 아니라 여러 보너스 조건이 모두 충족됐을 때의 이론적 상한이다. 실제 지급액은 취약점의 심각도와 재현 난이도, 보고서 품질에 따라 크게 달라진다. 상한이 올라갔다고 해서 모든 신고가 후하게 평가되는 것은 아니다.