OpenAI, 새로운 보안 스프린트 계획 및 버그 바운티 보상 인상

OpenAI는 2026년 11월 2일 Cathedral 및 외부 연구자들과 함께 또 한 차례 내부 보안 스프린트를 진행할 계획이라고 발표했다. 같은 날 공개된 버그 바운티 업데이트에서는 보상액을 인상하고, 예외적인 중대 취약점 제보의 보상금을 최대 172,000달러까지 높일 수 있는 보너스를 도입했다.

Cathedral 연구자들은 OpenAI 내부 팀과 함께 OpenAI의 모델을 사용해 방어 체계를 시험하고 취약점을 찾을 예정이다. 이번 발표는 이미 완료된 테스트가 아니라 계획 중인 스프린트에 관한 것이다. Cathedral의 CEO 겸 공동 창업자인 Gavin Kliger는 이번 협력을 통해 OpenAI의 모델과 보안 전문성을 Cathedral의 연구와 결합해 취약점을 찾고, 수정 사항을 시험하며, 지속적인 방어를 지원할 것이라고 말했다.

독립 연구자를 위한 보상 인상

OpenAI의 별도 버그 바운티 발표에 따르면, 이번 변경으로 중간·높음·치명적 등급 제보의 보상 범위 중간값이 평균적으로 4배 넘게 높아졌다. ChatGPT, Codex 또는 API Platform과 같은 핵심 제품의 치명적 취약점에는 이제 최대 30,000달러의 보상금이 지급될 수 있다. 해당 제품에서 발견된 예외적인 치명적 취약점은 보너스를 제외하고도 최대 100,000달러의 보상 대상이 될 수 있다.

품질이 높은 제보에는 기본 보상금에 배수를 적용할 수 있다. 품질 보너스는 버그를 분리해 보여 주고, 어떤 상황에서 악용할 수 있는지 밝히며, 그 영향을 입증하는 신뢰할 만한 개념 증명을 인정한다. 새로 도입된 5단계 로열티 프로그램은 OpenAI와 반복적으로 협력하는 연구자에게 단계별 보너스를 제공하며, 우선순위 캠페인에서는 새로 출시된 기능을 테스트할 수 있도록 별도의 보너스 풀을 마련한다.

아직 보상금이 확정되지 않은 제보에는 새로운 보상 범위가 적용된다. 발표 전 30일 동안 보상금이 지급된 연구자에게는 새로운 기본 보상금과 로열티 보상금을 적용했을 때 더 많은 금액을 받을 수 있었던 경우 그 차액이 지급된다.

이전 스프린트가 디펜스 팩토리 운영의 토대가 되다

앞서 진행된 스프린트는 운영 모델을 제시한다. OpenAI는 제품 엔지니어의 25%를 취약점 발견과 수정에 투입했다. 이들은 Codex를 사용해 제보를 조사하고, 격리된 환경에서 취약점을 재현하며, 검토를 위한 패치를 준비했다. 디펜스 팩토리 관련 게시물에 따르면 이 작업에는 100개가 넘는 서비스 분야에서 250명이 넘는 인력이 참여했다.

OpenAI는 앞선 작업의 첫날에 긴급 또는 우선순위가 높은 문제 53건을 해결했다고 밝혔다. 제보 가운데 37%는 중복으로 판정했고, 19.5%는 실행 중 재현했으며, 동적 검증 후 오탐률은 0.81%로 집계됐다. 수정 작업은 전적으로 Codex를 기반으로 진행됐으며, 수정 사항의 롤백률은 0.53%였다.

이러한 결과는 디펜스 팩토리가 단순한 패치 생성기를 넘어서는 이유를 보여 준다. 에이전트 우선 방식의 지속적인 순환 과정은 자산 목록 작성, 취약점 탐색, 동적 검증, 담당자 지정, 검증된 수정까지 아우르며, 에이전트는 재현 가능한 격리 환경에서 작업한다. 에이전트가 반복적인 업무를 맡는 동안 사람은 영향이 큰 변경 사항을 검토하고 모호한 사례를 처리한다.

다만 설계에는 중요한 단서가 있다. 후속 점검 결과, 병합된 패치와 전체 시스템에 배포된 수정 사항 사이에 차이가 있는 것으로 드러났다. 티켓의 상태가 바뀌거나 작업이 승인됐다고 해서 문제가 해결된 것은 아니다. 검증된 수정 단계에 이르려면 사람의 검토와 승인된 배포를 거친 뒤 배포 및 검증 증거가 있어야 한다.

OpenAI 외부의 방어자에게도 접근 제공

OpenAI는 자체 시스템을 넘어, 승인된 방어 작업을 수행하는 Daybreak 고객에게 가장 성능이 뛰어난 모델을 제공하고 있다. 2026년 9월 3일 Daybreak 발표에서는 보조금이 적용된 이용, 교육, 기술 지원 및 파트너십을 포함하는 10억 달러 규모의 지원 약정에 대해 6개월간의 이용 목표를 설정했다. 물과 전기 등 필수 서비스를 지키는 데 필요한 자원이 부족한 미국의 방어자부터 지원을 시작한다.

발표 당시 OpenAI는 사이버 보안 기업, 방위 기관, 법 집행 기관을 포함해 승인된 조직 및 업무 공간 2,000곳에서 수천 명의 방어자가 이미 Daybreak를 사용하고 있다고 밝혔다.

이번에 계획된 스프린트는 내부 방어와 외부 방어를 연결한다. 외부 연구자는 OpenAI의 테스트에서 놓친 문제를 제보하도록 더 큰 보상을 받고, 에이전트 우선 운영 체계는 취약점을 검증하고 수정하도록 설계됐다. OpenAI가 자체 설계에 반영한 기준은 제보가 단순히 완료 처리된 티켓으로 끝나는 것이 아니라, 배포되고 독립적으로 검증된 수정으로 이어지는지 여부다.