- 2026-07-27부터 GitHub 공개 버그 바운티 보상이 모든 심각도 등급에서 절반 이상 삭감된다.
- Critical 공개 보상 상한이 기존 $20,000~$30,000+에서 고정 $10,000로 대폭 인하된다.
- 최상위 보상 $30,000 이상은 초대 기반 VIP 등급으로 전환되어 영구 운영된다.
공개 보상 인하와 비공개 VIP 전환은 외부 연구자 동기 구조와 오픈소스 공급망 보안 거버넌스의 균형에 대한 재검토 필요성을提起한다.
GitHub은 2026년 7월 22일자로 공개 버그 바운티 정책의 전면 개정을 예고했다. 이번 개정의 핵심은 공개 채널에서 지급되는 보상의 상한을 낮추고, 최고 보상은 초대 기반 영구 등급인 VIP 트랙으로 분리한다는 것이다. 변경 시행일은 2026년 7월 27일이며, 접수 시점을 기준으로 신규 약정이 적용된다.
변경 핵심: 공개 리워드 삭감과 VIP 등급 신설
이번 정책 변화는 단순한 보상표 조정이 아니라 GitHub이 외부 연구자 프로그램을 운영 모델 측면에서 재설계했음을 보여준다. The Hacker News 보도에 따르면 출처가 The Hacker News 단일 보도임을 고려해 확정 톤을 보도로 완곡화 이로 인해 공개 리포트의 기대 보상값이 구조적으로 하락하게 된다.
일자와 적용 범위
- 시행일: 2026-07-27
- 적용 기준: 리포트 접수 시각 기준 신규 약정 적용
- 기존 약정 유지: 변경 발표 이전에 접수된 리포트는 기존 보상 조건을 유지
- VIP 등급 운영 방식: 초대 기반(invite-only) 영구 등급
심각도 등급별 공개 보상 상한 비교
아래 표는 GitHub 공개 버그 바운티 보상의 주요 변화를 정리한 것이다. Critical 등급의 경우 기존 가변 상한이 고정 상한으로 전환되며, 최고 액수는 VIP 등급에서만 지급된다.
| 심각도 | 기존 공개 보상 범위 | 신규 공개 보상 상한 | 비고 |
|---|---|---|---|
| Critical | $20,000 ~ $30,000+ | $10,000 (고정) | 최고 액수는 VIP 등급 전용 |
| High | 최대 $10,000 내외 | 대폭 삭감 (절반 이상) | 상한 구체 수치는 GitHub 공식 리소스 참조 |
| Medium / Low | 기존 가변 구조 | 절반 이상 삭감 | VIP 등급과 무관하게 공개 채널에서 산정 |
변경 발표 매체는 The Hacker News이며, 발표 기사 게재 일시는 2026-07-22T18:37:42+00:00다. 공식 근거는 GitHub Security 리소스 페이지에서 확인할 수 있다.
외부 연구자 행동 변화에 미치는 영향
보상 상한의 구조적 하락은 연구자의 시간 배분과 리포트 전략에 직접적인 영향을 줄 것으로 분석된다. 특히 다음과 같은 변화가 예상된다.
- 리소스 재배분: 공개 채널의 기대 보상이 낮아지면 일부 연구자는 한 리포트당 깊이 분석보다 단위 시간당 처리량을 우선시할 가능성이 있다. 이는 Critical 등급보다 Medium, Low 비중을 늘리는 방향으로 나타날 수 있다.
- VIP 등급 진입 경쟁: $30,000 이상의 최고 보상이 초대 기반 VIP 등급 전용으로 전환되면, 기존에 공개 채널에서 쌓은 평판과 신뢰가 VIP 초대 확률의 핵심 변수가 된다.
- 커뮤니티 내부 정보 비대칭 심화: VIP 등급의 구체 보상 범위, 초대 기준, 운영 절차가 비공개이므로 일반 연구자 입장에서는 정보 비대칭이 심화될 것으로 보인다.
오픈소스 공급망 보안 생태계에 미치는 파급효과
GitHub은 전 세계 오픈소스 저장소의 핵심 호스트로서, 외부 연구자 생태계는 사실상 공급망 보안의 1차 방어선 역할을 수행해 왔다. 공개 보상 삭감은 이 생태계의 동기 구조를 약화시킬 수 있다는 우려와 함께, 내부적으로는 VIP 등급을 통해 핵심 발견을 집중 처리하겠다는 운영 효율화 의도가 공존한다는 해석이 나온다.
긍정적 시나리오
- 신고 품질 필터링 강화: 보상이 줄어들면 저품질 리포트의 자연스러운 감소 효과가 발생할 수 있다.
- 핵심 취약점에 대한 집중 보상: VIP 등급에서 $30,000 이상을 지급함으로써 실제 위협이 큰 발견에 대한 보상 효율이 높아질 수 있다.
우려 시나리오
- 연구자 이탈: 공개 채널의 기대 보상이 절반 이하가 되면 일부 연구자는 다른 플랫폼이나 사적 거래 시장으로 이동할 가능성이 있다.
- 오픈소스 메인테이너 부담 증가: GitHub의 공식 보상이 약해지면, 핵심 라이브러리 메인테이너가 직접 보상 트랙을 운영해야 하는 부담이 커질 수 있다.
- 공급망 가시성 저하: VIP 등급이 비공개이므로, 외부에서 GitHub 생태계의 취약점 처리 현황을 모니터링하기 어려워질 수 있다.
대응 권고와 모니터링 체크리스트
이번 변경에 대응하기 위해 외부 연구자와 보안 운영자는 다음 항목들을 점검할 필요가 있다.
- 리포트 접수 시점 기준 약정 버전 확인 및 캡처 보관
- GitHub 공식 Security 리소스의 정책 변경 로그 주기적 모니터링
- VIP 등급 초대 대상자 선별 기준 공개 요청 및 커뮤니티 피드백 채널 가동
- 오픈소스 메인테이너 대상 직접 보상 트랙 운영 가능성 검토
- 중복 리포트 및 저장소 변경 이력 분석을 통한 차별화 전략 수립
종합하면 이번 정책 변화는 단순한 비용 절감이 아니라 외부 연구자와 GitHub 내부 보안 조직의 역할 재분담을 의미한다. 연구자 입장에서는 공개 채널의 단가 하락을 보완하기 위해 리포트 품질과 차별화에 더 집중해야 하며, 생태계 전반의 입장에서는 VIP 등급의 투명성과 공급망 가시성 확보가 향후 핵심 과제가 될 것으로 분석된다.
핵심 정리
- 정책 시행일: 2026-07-27, 리포트 접수 시각 기준 신규 약정 적용
- Critical 공개 보상 상한: 기존 $20,000~$30,000+에서 고정 $10,000로 인하
- 최고 보상 채널: $30,000 이상, 초대 기반 VIP 등급에서만 지급
- 기존 리포트 보호: 변경 발표 이전 접수분은 기존 약정 유지
- 파급효과: 연구자 동기 약화 우려, 핵심 발견 집중 보상 효과, 공급망 가시성 저하 가능성