Höhere Bug-Bounty-Prämien für alle, die Sicherheitslücken finden
Wir erhöhen die Prämien im Programm Security Bug Bounty von OpenAI. Damit möchten wir unabhängige Sicherheitsforschende noch stärker dazu ermutigen, Schwachstellen in der Software von OpenAI aufzuspüren, die wir bei unseren Tests möglicherweise übersehen haben. Außerdem führen wir neue Anreize ein: Für besonders hochwertige Schwachstellenberichte können Sicherheitsforschende künftig höhere Prämien erhalten.
Unabhängige Sicherheitsforschende leisten einen wesentlichen Beitrag zum Schutz von Technologie in der gesamten Branche. Anreize für die verantwortungsvolle Offenlegung von Schwachstellen sind ein zentraler Bestandteil unseres Sicherheitskonzepts bei OpenAI. Sie ergänzen unsere Arbeit an Defense Factory, bei der unsere Entwicklungsteams mithilfe unserer Modelle Schwachstellen finden, reproduzieren und Korrekturen testen.
Die heutigen Neuerungen sollen Sicherheitsforschende motivieren und unterstützen. Zugleich wollen wir damit die Zusammenarbeit weiter stärken und ein Sicherheitsumfeld schaffen, in dem die Community im Mittelpunkt steht.
Für Schwachstellen mit mittlerem, hohem und kritischem Schweregrad heben wir die Mittelpunkte unserer Prämienspannen im Durchschnitt auf mehr als das Vierfache an. Für eine kritische Schwachstelle in einem Kernprodukt wie ChatGPT, Codex oder der API-Plattform gibt es jetzt bis zu 30.000 USD. Für außergewöhnlich schwerwiegende kritische Schwachstellen in diesen Produkten sind weiterhin bis zu 100.000 USD möglich, mit Boni jetzt sogar bis zu 172.000 USD. Alle Einzelheiten findest du auf der Seite zu unserem Programm Security Bug Bounty(wird in einem neuen Fenster geöffnet).
Für hochwertige Berichte kann die Grundprämie künftig mit einem Bonusfaktor erhöht werden. Ein zuverlässiger Machbarkeitsnachweis, der den Fehler isoliert, die Bedingungen für seine Ausnutzung aufzeigt und seine Auswirkungen belegt, hilft uns, schneller eine Lösung zu entwickeln. Der Qualitätsfaktor würdigt die zusätzliche Arbeit, die eine Schwachstellenmeldung besonders hilfreich macht.
Um langfristige Beziehungen aufzubauen und unsere Sicherheitscommunity dauerhaft zu unterstützen, führen wir ein gestuftes Treueprogramm ein. Das System umfasst fünf Stufen mit steigenden Boni. Damit würdigen und unterstützen wir Sicherheitsforschende, die regelmäßig mit uns zusammenarbeiten, um KI-Technologie für alle sicherer zu machen.
Damit die Community auch bei technologischen Neuerungen mitwirken kann, wird es Schwerpunktkampagnen mit eigenen Bonusbudgets für neu eingeführte Funktionen geben. Diese zeitlich begrenzten Kampagnen bieten Sicherheitsforschenden die Möglichkeit, neue Entwicklungen frühzeitig zu testen und für ihre frühen Beiträge hohe Prämien und Anerkennung zu erhalten.
Beispiel einer Schwachstelle | Beispiel einer bisherigen Prämie | Beispiel der neuen Prämienberechnung | Neue Prämie |
Mittel – ChatGPT (Kernprodukt): Ein Mitglied mit reinem Lesezugriff kann ohne Schreibberechtigung Dateien in ein Projekt hochladen. | 750 USD | 2.000 USD × 1,15 Qualitätsbonus × 1,05 Treuebonus der Stufe Bronze | 2.415 USD |
Hoch – Prism (kein Kernprodukt): Eine unsichere direkte Objektreferenz (IDOR) ermöglicht das Lesen einer Datei, die in das Projekt einer anderen Person hochgeladen wurde. | 1.000 USD | 2.500 USD × 1,15 Qualitätsbonus × 1,10 Treuebonus der Stufe Gold | 3.162,50 USD |
Kritisch – ChatGPT (Kernprodukt): Kontoübernahme ohne jegliche Interaktion der betroffenen Person (Zero-Click). | 6.500 USD | 30.000 USD × 1,15 Qualitätsbonus × 1,30 Schwerpunktkampagnenbonus × 1,15 Treuebonus der Stufe 31337 | 51.577 USD |
Außergewöhnlich – ChatGPT (Kernprodukt): Erhebliche Verletzung einer Sicherheitsgrenze (z. B. die Möglichkeit, Chatnachrichten beliebiger Personen einzusehen, die ChatGPT nutzen). | 100.000 USD | 100.000 USD × 1,15 Qualität × 1,30 Schwerpunktkampagne × 1,15 Treuestufe 31337 | 171.925 USD |
Alle Szenarien und bisherigen Prämien dienen der Veranschaulichung.
Wenn du bereits einen Bericht eingereicht hast und wir noch keine Prämie dafür vergeben haben, wenden wir die neuen Prämienspannen an. Für Prämien, die wir in den 30 Tagen vor dieser Ankündigung vergeben haben, zahlen wir dir die Differenz nach, falls deine Meldung nach den neuen Spannen eine höhere Prämie ergeben hätte (Grundprämie + Treueprämien).
Am 20. und 21. November ist unser Sicherheitsteam bei PROMPT2PWN(wird in einem neuen Fenster geöffnet) in Oakland dabei. Dort können Sicherheitsforschende die vorgesehenen Systeme vor Ort testen. Wenn du dabei bist, würden wir gerne erfahren, woran du gearbeitet hast und wie wir mit dir zusammenarbeiten können.
Vielen Dank an alle, die sich die Zeit genommen haben, einem Hinweis nachzugehen und uns ihre Erkenntnisse zu melden. Wir möchten, dass du dich auch künftig an das Team von OpenAI wendest, wenn du etwas entdeckst, das wir übersehen haben.
