Recompensem els defensors amb premis més alts per trobar vulnerabilitats
Augmentem les recompenses del programa de recompenses per vulnerabilitats de seguretat d'OpenAI per animar encara més els investigadors independents a cercar vulnerabilitats al programari d'OpenAI que les nostres proves poden haver passat per alt. També introduïm nous incentius perquè els investigadors rebin recompenses més altes pels informes de vulnerabilitats de més qualitat.
Els investigadors de seguretat independents tenen un paper essencial en la protecció de la tecnologia de tot el sector. A OpenAI, incentivar la divulgació responsable és una part fonamental del nostre model de seguretat i complementa la nostra tasca a Defense Factory, on els nostres enginyers fan servir els nostres models per trobar punts febles, reproduir-los i provar solucions.
Les novetats d'avui estan pensades per motivar els investigadors i donar-los suport, i per continuar construint un entorn de seguretat col·laboratiu que posi la comunitat al centre.
Multipliquem per més de quatre, de mitjana, el punt mitjà dels intervals de recompensa per a troballes de gravetat mitjana, alta i crítica. Ara, una vulnerabilitat crítica en un producte principal com ChatGPT, Codex o la Plataforma d'API rebrà una recompensa de fins a 30.000 $. Les troballes crítiques excepcionals en aquests productes continuen optant a recompenses de fins a 100.000 $, i ara de fins a 172.000 $ amb les bonificacions. Tots els detalls estan disponibles al nostre programa de recompenses per vulnerabilitats de seguretat(s'obre en una finestra nova).
Els informes d'alta qualitat podran rebre un multiplicador de bonificació sobre la recompensa base. Una prova de concepte fiable que aïlli l'error, mostri quan es pot explotar i en demostri l'impacte ens permet avançar més de pressa cap a una solució. El multiplicador per qualitat reconeix l'esforç addicional que fa que una troballa sigui especialment útil.
Per establir relacions a llarg termini i donar suport continu a la nostra comunitat de seguretat, introduïm un programa de bonificacions per fidelitat amb diversos nivells. Aquest sistema de 5 nivells ofereix bonificacions creixents per reconèixer, donar suport i homenatjar els investigadors que col·laboren amb nosaltres de manera continuada per fer que la tecnologia d'IA sigui més segura per a tothom.
Per fomentar la participació de la comunitat a mesura que la tecnologia evoluciona, les campanyes prioritàries disposaran de fons de bonificació específics per a les funcions acabades de llançar. Aquestes campanyes de curta durada ofereixen als investigadors l'oportunitat de ser dels primers a provar les novetats, amb recompenses elevades i reconeixement per les seves primeres contribucions.
Exemple de vulnerabilitat | Exemple de recompensa anterior | Exemple del nou càlcul de recompenses | Nova recompensa |
Mitjana - ChatGPT (actiu principal): un membre amb accés de només lectura pot pujar fitxers a un projecte sense permís d'escriptura. | 750 $ | 2.000 $ × 1,15 de bonificació per qualitat × 1,05 de bonificació per fidelitat de nivell Bronze | 2.415 $ |
Alta - Prism (actiu no principal): una IDOR permet llegir un fitxer pujat al projecte d'un usuari | 1.000 $ | 2.500 $ × 1,15 de bonificació per qualitat × 1,10 de bonificació per fidelitat de nivell Or | 3.162,50 $ |
Crítica - ChatGPT (actiu principal): apropiació d'un compte sense que l'usuari hagi de fer cap clic. | 6.500 $ | 30.000 $ × 1,15 de bonificació per qualitat × 1,30 de bonificació per campanya prioritària × 1,15 de bonificació per fidelitat de nivell 31337 | 51.577 $ |
Excepcional - ChatGPT (actiu principal): vulneració greu d'una barrera de seguretat (p. ex., la possibilitat de veure els missatges de xat de qualsevol usuari de ChatGPT). | 100.000 $ | 100.000 $ × 1,15 per qualitat × 1,30 per campanya prioritària × 1,15 per fidelitat de nivell 31337 | 171.925 $ |
Tots els casos i les recompenses anteriors s'ofereixen a tall d'exemple.
Si ja has enviat un informe i encara no hem concedit cap recompensa, aplicarem els nous intervals de recompensa. Per a les recompenses que vam concedir en els 30 dies anteriors a aquest anunci, et pagarem la diferència si la teva troballa hauria rebut una recompensa més alta amb els nous intervals (recompensa base + recompenses per fidelitat).
Els dies 20 i 21 de novembre, el nostre equip de seguretat serà a PROMPT2PWN(s'obre en una finestra nova), a Oakland, on els investigadors podran posar a prova els sistemes presencialment. Si hi vens, ens encantarà saber en què has estat treballant i com podem col·laborar amb tu.
Gràcies a tothom que ha dedicat temps a investigar un indici i ens n'ha informat. Volem que OpenAI sigui un equip al qual tornis a recórrer quan trobis alguna cosa que ens hagi passat per alt.
