GitHub, 버그바운티 개편…VIP 보상 3만달러 이상·공개 프로그램 정액제

GitHub가 취약점 신고 보상 제도를 전면 개편한다. GitHub의 22일 공식 보안 블로그 발표에 따르면 회사는 검증된 연구자를 위한 영구 초대제 VIP 프로그램을 도입하고, 공개 버그바운티는 심각도별 정액 보상 방식으로 바꾼다. 새 구조는 7월 27일 이후 제출되는 보고서부터 적용된다.

개편 배경에는 늘어난 신고 대기열과 보고서 품질 문제가 있다. GitHub는 신규 연구자의 증가와 기존 연구자의 활동 확대에 맞춰 운영을 조정해 왔지만, 낮은 품질의 신고와 AI로 작성된 보고서가 함께 늘면서 실제 위험도가 높은 취약점을 가려내기 어려워졌다고 설명했다. 이번 조정의 목표를 신고 수보다 실질적 영향과 재현성이 높은 연구에 보상을 집중하는 데 뒀다.

새 VIP 프로그램은 일관되게 고품질 취약점을 제출한 연구자를 대상으로 한다. 보상액은 낮음 1천달러, 중간 7천500달러, 높음 2만달러, 치명적 3만달러 이상이다. VIP 연구자에게는 더 빠른 응답과 GitHub 보안 엔지니어링팀과의 긴밀한 협업도 제공된다.

초대 자격은 누적 성과를 기준으로 정해진다. 치명적 취약점 1건, 높음 2건, 중간 4건, 낮음 7건 가운데 하나를 충족하면 자격 검토 대상이 된다. GitHub는 구체적인 기준을 HackerOne 공개 페이지에 게시할 예정이며, 반복적인 신고보다 일관된 품질을 보상하는 구조라고 밝혔다.

공개 프로그램의 보상액도 구간제에서 정액제로 바뀐다. 낮음 250달러, 중간 2천달러, 높음 5천달러, 치명적 1만달러가 각각 지급된다. GitHub는 보상 범위를 없애 연구자가 받을 금액을 명확히 하고, 특별한 기여에는 별도 보너스를 지급할 수 있다고 설명했다. 공개 프로그램은 신규 연구자가 경험을 쌓아 VIP 프로그램으로 진입하는 통로로 유지된다.

신고 자격에는 HackerOne의 신호 지표가 도입된다. 기준을 충족하지 못한 연구자는 처음 최대 4건까지 보고서를 제출해 실적을 쌓을 수 있다. GitHub는 이를 신규 연구자의 진입을 막는 장벽이 아니라 자동 생성되거나 충분히 검증되지 않은 보고서가 대량으로 접수되는 상황에서 기본 품질을 확보하기 위한 조치로 제시했다.

기존 대기열에는 종전 기준이 적용된다. 제도 시행 전에 제출된 보고서는 이전 보상 체계로 처리하고, 7월 27일 이후 제출분부터 새 표를 적용한다. GitHub는 보상 구조 개편과 함께 응답 속도 개선, 심각도 판단 근거의 명확화, 보안 연구자 커뮤니티와의 접점 확대도 추진할 계획이다.

이번 변화는 AI가 취약점 탐색과 보고서 작성의 진입 장벽을 낮추면서 버그바운티 운영이 신고량보다 검증 품질을 관리하는 방향으로 이동하고 있음을 보여준다. 다만 공개 프로그램의 보상액을 낮추고 초대형 상위 단계를 강화한 만큼 신규 연구자의 참여 폭과 고품질 신고의 집중도가 실제로 어떻게 변하는지는 시행 이후 지켜볼 대목이다.

이번 발표는 GitHub에서 새로운 취약점이 발견됐거나 침해사고가 발생했다는 의미가 아니다. 외부 보안 연구자의 신고를 접수하고 보상하는 운영 정책 변경이며, 일반 이용자에게 별도의 보안 조치는 요구되지 않는다.

출처: GitHub 공식 보안 블로그 https://github.blog/security/next-chapter-restructuring-githubs-bug-bounty-program/