GitHub는 새로운 VIP 티어와 공개 지급 시스템의 재편을 포함하여, 자사의 버그 바운티 (Bug Bounty) 프로그램에 대한 대대적인 개편 (overhaul)을 발표했습니다. 이러한 변화의 목적은 보안 연구자들의 경험을 개선하고, 내부 프로세스를 효율화하며, 궁극적으로 플랫폼의 전반적인 보안을 강화하는 것입니다.

개편의 배경

이 광범위한 업데이트의 동기는 "소음을 줄이고" 영향력이 큰 보안 취약점에 집중하는 것입니다. 업계 트렌드를 분석하고 연구자 커뮤니티의 피드백을 반영함으로써, GitHub는 자사의 보안에 기여하는 이들을 위해 더욱 효율적이고 보상이 확실한 환경을 조성하는 것을 목표로 합니다.

영구적인 VIP 프로그램 도입

이번 개편의 핵심 특징 중 하나는 초청 전용 (invite-only) VIP 프로그램의 공식화입니다. 이 특별 티어는 지속적으로 높은 수준의 기술을 보여주고 고품질의 영향력 있는 작업을 수행하는 연구자들을 위해 마련되었습니다. 이 VIP 프로그램의 구성원들은 다음과 같은 확대된 혜택을 기대할 수 있습니다:

• 높은 보상: 식별된 취약점에 대해 증액된 포상금.
• 빠른 응답 시간: 제출된 보고서에 대한 신속한 승인 및 처리.
• 직접적인 협업: GitHub의 전담 보안 엔지니어링 팀과의 긴밀한 교류.

이는 신뢰할 수 있는 연구자들과 더 깊고 협력적인 관계를 구축하는 것을 목표로 합니다. VIP 바운티 티어는 다음과 같이 구성됩니다:

• 낮은 심각도 (Low Severity): $1,000
• 중간 심각도 (Medium Severity): $7,500
• 높은 심각도 (High Severity): $20,000
• 최고 심각도 (Critical Severity): $30,000+

VIP 프로그램 자격 요건은 지속적인 품질을 강조하며, 특정 제출 벤치마크(예: 심각도 1건, 높음 2건, 중간 4건 또는 낮음 7건의 취약점)를 포함합니다. 이 프로그램의 철학은 단순히 더 많은 보고서를 제출하는 것이 아니라, 더 나은 보고서를 제출하는 연구자에게 보상하는 것입니다.

공개 버그 바운티 프로그램의 재편

VIP 프로그램과 더불어, GitHub는 공개 버그 바운티 (Public Bug Bounty) 제안도 조정하고 있습니다. 명확한 기대치를 제공하고 행정적 오버헤드 (Administrative Overhead)를 줄이기 위해, 보상금은 이제 심각도 (Severity) 수준에 따라 고정된 금액으로 지급됩니다. 새로운 공개 보상표는 다음과 같습니다:

• 낮은 심각도 (Low Severity): $250
• 중간 심각도 (Medium Severity): $2,000
• 높은 심각도 (High Severity): $5,000
• 최고 심각도 (Critical Severity): $10,000

이러한 조정의 목적은 GitHub가 VIP 프로그램에 더 집중적인 관심과 높은 보상을 할애할 수 있도록 하는 동시에, 공개 프로그램은 접근성을 유지하며 떠오르는 인재와 새로운 연구자들을 식별하기 위한 중요한 파이프라인 역할을 수행하도록 하는 것입니다.

노력 부족 및 AI 생성 보고서 문제 해결

노력이 부족한 보고서와 잠재적인 AI 생성 (AI-generated) 보고서의 흐름이 증가함에 따라, GitHub는 공개 프로그램을 위해 HackerOne 시그널 (Signal) 요구 사항을 적용하고 있습니다. 시그널이 특정 임계값 미만인 연구자의 경우, 실적을 쌓는 동안 제한된 횟수의 제출만 허용됩니다. HackerOne은 신규 사용자에게 초기 4회의 제출 기회를 제공하여, 실제 발견 사항을 입증하고 신뢰성을 구축할 수 있는 충분한 기회를 제공할 것입니다.

연구자에 대한 약속 및 향후 계획

GitHub는 보안 연구를 가치 있게 여기고 보상하겠다는 약속을 재확인합니다. 지급은 제때 이루어질 것이며, 소통은 명확할 것이고, 연구자들은 플랫폼의 보안을 유지하는 데 필수적인 파트너로 간주될 것입니다. 2026년 7월 27일 이전에 제출된 보고서는 이전 보상 체계에 따라 처리되며, 새로운 시스템은 해당 날짜 또는 그 이후에 이루어진 제출부터 적용됩니다.

앞으로 GitHub은 빠른 응답 시간(response time)에 투자하고, 취약점 심각도 평가(vulnerability severity assessment)를 위한 명확한 논거를 제공하며, 커뮤니티 참여를 강화함으로써 프로그램을 더욱 개선하는 데 집중하고 있습니다. 여기에는 DEFCON과 같은 주요 산업 행사에 참여하려는 계획도 포함되어 있습니다. 이러한 포괄적인 GitHub 버그 바운티 프로그램(bug bounty program)의 전면적인 개편은 가치 있는 연구를 유치하고 보안 커뮤니티의 신뢰를 유지하는 강력한 프로그램을 구축하려는 GitHub의 헌신을 보여줍니다. 또한 플랫폼은 nsfw ai 도구의 개발을 포함하여 다양한 AI 분야에서의 발전을 지속적으로 탐구하고 있습니다.

tags: bugbounty, github, security, hacking