Vyšší odměny pro ty, kdo odhalují bezpečnostní chyby
Zvyšujeme odměny v programu OpenAI za odhalení bezpečnostních chyb, abychom nezávislé výzkumníky ještě více motivovali k hledání zranitelností v softwaru OpenAI, které mohly uniknout našemu testování. Zavádíme také nové bonusy, díky nimž mohou výzkumníci získat vyšší odměny za kvalitnější hlášení zranitelností.
Nezávislí bezpečnostní výzkumníci hrají zásadní roli při ochraně technologií napříč celým odvětvím. Podpora odpovědného oznamování zranitelností je v OpenAI klíčovou součástí našeho přístupu k zabezpečení. Doplňuje naši práci v rámci iniciativy Defense Factory, kde naši inženýři využívají naše modely k hledání slabin, jejich reprodukci a testování oprav.
Dnešní změny mají výzkumníky motivovat a podpořit a dále rozvíjet prostředí pro bezpečnostní výzkum, které staví na spolupráci a klade komunitu na první místo.
Střední hodnoty rozpětí odměn za středně závažné, vysoce závažné a kritické nálezy zvyšujeme v průměru na více než čtyřnásobek. Za kritickou zranitelnost v klíčovém produktu, jako je ChatGPT, Codex nebo Platforma API, lze nyní získat až 30 000 USD. Za mimořádné kritické nálezy v těchto produktech lze i nadále získat až 100 000 USD a nově s bonusy až 172 000 USD. Veškeré podrobnosti najdete v našem programu odměn za odhalení bezpečnostních chyb(otevře se v novém okně).
U kvalitních hlášení bude možné zvýšit základní odměnu pomocí bonusového násobitele. Spolehlivá ukázka zneužití, která izoluje chybu, ukazuje, kdy ji lze zneužít, a dokládá její dopad, nám usnadňuje práci na opravě. Násobitel za kvalitu oceňuje práci navíc, díky níž je nález obzvlášť užitečný.
Abychom budovali dlouhodobé vztahy a soustavně podporovali naši bezpečnostní komunitu, zavádíme věrnostní bonusový program s několika úrovněmi. Tento systém s pěti úrovněmi nabízí rostoucí bonusy, kterými oceňujeme a podporujeme výzkumníky, kteří s námi dlouhodobě spolupracují na tom, aby technologie AI byly bezpečnější pro všechny.
Abychom podpořili zapojení komunity do testování vyvíjejících se technologií, vyhradíme v prioritních kampaních zvláštní prostředky na bonusy za testování nově spuštěných funkcí. Tyto krátkodobé kampaně umožňují výzkumníkům testovat novinky mezi prvními a získat za svůj včasný přínos vysoké odměny i uznání.
Příklad zranitelnosti | Příklad dřívější odměny | Příklad nového výpočtu odměny | Nová odměna |
Střední závažnost – ChatGPT (klíčový produkt): Člen s přístupem pouze pro čtení může do projektu nahrávat soubory bez oprávnění k zápisu. | 750 USD | 2 000 USD × 1,15 za kvalitu × 1,05 za bronzovou úroveň věrnostního programu | 2 415 USD |
Vysoká závažnost – Prism (vedlejší produkt): Zranitelnost IDOR umožňující čtení souboru nahraného do projektu uživatele | 1 000 USD | 2 500 USD × 1,15 za kvalitu × 1,10 za zlatou úroveň věrnostního programu | 3 162,50 USD |
Kritická závažnost – ChatGPT (klíčový produkt): Převzetí účtu bez jakékoli interakce uživatele. | 6 500 USD | 30 000 USD × 1,15 za kvalitu × 1,30 za prioritní kampaň × 1,15 za úroveň 31337 věrnostního programu | 51 577 USD |
Mimořádný nález – ChatGPT (klíčový produkt): Závažné prolomení bezpečnostní hranice (např. možnost prohlížet zprávy v chatech libovolných uživatelů ChatGPT). | 100 000 USD | 100 000 USD × 1,15 za kvalitu × 1,30 za prioritní kampaň × 1,15 za úroveň 31337 věrnostního programu | 171 925 USD |
Všechny scénáře i dřívější odměny slouží pouze pro ilustraci.
Pokud jste už hlášení odeslali a my vám zatím nepřiznali odměnu, použijeme nová rozpětí odměn. U odměn, které jsme přiznali během 30 dnů před tímto oznámením, vám doplatíme rozdíl, pokud by za váš nález podle nových rozpětí náležela vyšší částka (základní odměna + věrnostní odměny).
Ve dnech 20.–21. listopadu bude náš bezpečnostní tým na akci PROMPT2PWN(otevře se v novém okně) v Oaklandu, kde mohou výzkumníci testovat vybrané systémy přímo na místě. Pokud se chystáte dorazit, rádi si poslechneme, na čem pracujete a jak bychom s vámi mohli spolupracovat.
Děkujeme všem, kdo věnovali čas prověření možné zranitelnosti a jejímu nahlášení. Chceme, aby OpenAI bylo týmem, na který se znovu obrátíte, když objevíte něco, co nám uniklo.
