KENSAI 보안 운영: AGI 지원 바운티 워크플로에는 범위를 지키는 증거가 필요합니다

6월 6일 보안 운영 노트: KENSAI는 자율적인 익스플로잇의 양보다 범위를 지키는 증거 묶음, 개인정보를 최소화한 입증 자료, 재시험 가능한 개선 경로를 중심으로 AGI 지원 버그 바운티 워크플로를 설계하고 있습니다.

버그 바운티의 속도는 바운티 품질과 같지 않습니다

AGI 지원 워크플로는 가설을 빠르게 만들 수 있지만 속도만으로는 연구자와 프로그램 운영자 모두에게 피해를 줄 수 있습니다. 운영 목표는 더 많은 주장을 만드는 것이 아니라 모호한 주장을 줄이는 것입니다. KENSAI가 선호하는 워크플로는 에이전트가 허가된 자산, 문서화된 테스트 방법, 유지관리자가 추측 없이 검증할 수 있는 증거에 집중하도록 합니다.

증거 묶음은 보고서를 안전하고 유용하게 유지합니다

범위를 지키는 증거 묶음에는 문제 검증에 필요한 최소한의 입증 자료를 기록합니다. 여기에는 대상, 권한의 근거, 재현 단계, 보안 영향, 필요한 경우의 스크린샷이나 로그, 민감한 자료가 나타났을 때의 데이터 최소화 메모가 포함됩니다. 이 묶음은 보고서를 실행 가능한 상태로 만들면서 취약점 입증에 필요한 것보다 더 많은 고객 데이터를 수집하는 흔한 실패를 피하게 합니다.

첫 보고서부터 재시험을 포함해야 합니다

좋은 바운티 운영은 처음부터 종결을 생각합니다. 최초 보고서에 수정 후 예상되는 동작과 위험이 낮은 재시험 경로가 포함되면 엔지니어링 팀은 개선 여부를 더 빨리 확인할 수 있습니다. 따라서 AGI 지원은 발견 증거뿐 아니라 최초 검증과 동일한 범위 및 개인정보 보호 한계를 지키는 재시험 절차도 만들어야 합니다.

차이를 만드는 것은 AGI 제어 계층입니다

이제 중요한 질문은 에이전트가 테스트를 제안할 수 있는지가 아닙니다. 에이전트를 둘러싼 시스템이 그 테스트를 제한하고, 기록하고, 검토하고, 설명할 수 있는지가 중요합니다. 책임 있는 공개에는 기술 역량만큼 추적 가능성이 필요하므로 KENSAI는 이러한 통제를 제품 기능으로 다룹니다.