По-големи награди за открити уязвимости за защитниците
Увеличаваме наградите в програмата на OpenAI за открити уязвимости, за да насърчим още повече независимите изследователи да търсят уязвимости в софтуера на OpenAI, които може да сме пропуснали при тестването. Въвеждаме и нови стимули, които позволяват на изследователите да получават по-високи възнаграждения за по-качествени доклади за уязвимости.
Независимите изследователи по сигурността имат ключова роля в защитата на технологиите в целия сектор. В OpenAI насърчаването на отговорното разкриване на уязвимости е основна част от нашия подход към сигурността. То допълва работата ни по Defense Factory, където инженерите ни използват нашите модели, за да откриват слабости, да ги възпроизвеждат и да тестват поправки.
Днешните промени целят да насърчат изследователите и да им дадат повече възможности, както и да продължим да изграждаме среда за сътрудничество в областта на сигурността, в която общността е на първо място.
Увеличаваме средно над четири пъти средната стойност на диапазоните на наградите за открити уязвимости със средна, висока и критична тежест. За критична уязвимост в основен продукт като ChatGPT, Codex или API платформата вече ще се присъждат до 30 000 щ.д. За изключителни случаи на критични уязвимости в тези продукти наградата остава до 100 000 щ.д., а с бонусите вече може да достигне 172 000 щ.д. Пълните подробности са достъпни в нашата програма за награди за открити уязвимости(отваря се в нов прозорец).
За висококачествени доклади ще може да се прилага бонусен коефициент към основната награда. Надеждна демонстрация, която изолира уязвимостта, показва кога тя може да бъде използвана и какви са последиците, ни помага да я отстраним по-бързо. Коефициентът за качество възнаграждава допълнителната работа, която прави един доклад особено полезен.
За да изграждаме дългосрочни отношения и постоянно да разширяваме възможностите на нашата общност по сигурността, въвеждаме програма с различни нива на бонуси за лоялност. Тази система с 5 нива предлага нарастващи бонуси, с които да отличаваме, подкрепяме и възнаграждаваме изследователите, които редовно работят с нас, за да направят AI технологиите по-безопасни за всички.
За да насърчаваме участието на общността с развитието на технологиите, приоритетните кампании ще разполагат със специални фондове за бонуси за нововъведени функции. Тези краткосрочни кампании дават на изследователите възможност да тестват новите разработки още в началото срещу високи награди и да получат признание за ранния си принос.
Примерна уязвимост | Примерна награда по старите правила | Примерно изчисление по новите правила | Нова награда |
Средна тежест – ChatGPT (основен актив): Член с достъп само за четене може да качва файлове в проект без разрешение за запис. | 750 щ.д. | 2 000 щ.д. × 1,15 бонус за качество × 1,05 бонус за бронзово ниво на лоялност | 2 415 щ.д. |
Висока тежест – Prism (неосновен актив): IDOR уязвимост, позволяваща прочитане на файл, качен в проект на потребител | 1 000 щ.д. | 2 500 щ.д. × 1,15 бонус за качество × 1,10 бонус за златно ниво на лоялност | 3 162,50 щ.д. |
Критична тежест – ChatGPT (основен актив): Превземане на акаунт без никакво действие от страна на потребителя. | 6 500 щ.д. | 30 000 щ.д. × 1,15 бонус за качество × 1,30 бонус за приоритетна кампания × 1,15 бонус за ниво на лоялност 31337 | 51 577 щ.д. |
Изключителен случай – ChatGPT (основен актив): Значителен пробив в защитна граница (напр. възможност за преглед на съобщенията в чатовете на произволни потребители на ChatGPT). | 100 000 щ.д. | 100 000 щ.д. × 1,15 качество × 1,30 приоритетна кампания × 1,15 лоялност на ниво 31337 | 171 925 щ.д. |
Всички сценарии и награди по старите правила са дадени само за илюстрация.
Ако вече сте подали доклад, но все още не сме присъдили награда, ще приложим новите диапазони на наградите. За наградите, присъдени през 30-те дни преди това съобщение, ще ви изплатим разликата, ако откритието ви би получило по-високо възнаграждение по новите диапазони (основна награда + бонуси за лоялност).
На 20–21 ноември екипът ни по сигурността ще бъде на PROMPT2PWN(отваря се в нов прозорец) в Оукланд, където изследователите ще могат да тестват избрани системи на място. Ако ще бъдете там, ще се радваме да чуем по какво работите и да обсъдим как можем да си сътрудничим.
Благодарим на всички, които са отделили време да проучат потенциална уязвимост и да ни докладват за нея. Искаме OpenAI да бъде екипът, към който отново се обръщате, когато откриете нещо, което сме пропуснали.
