Mayores recompensas para quienes nos protegen al detectar vulnerabilidades
Estamos aumentando las recompensas del programa de OpenAI para la detección de vulnerabilidades de seguridad, con el fin de alentar aún más a los investigadores independientes a buscar vulnerabilidades en el software de OpenAI que nuestras pruebas podrían haber pasado por alto. También estamos incorporando nuevos incentivos para que los investigadores reciban mayores recompensas por los informes de vulnerabilidades de mayor calidad.
Los investigadores de seguridad independientes desempeñan un papel esencial en la protección de la tecnología en todo el sector. En OpenAI, incentivar la divulgación responsable es una parte fundamental de nuestro enfoque de seguridad y complementa nuestra labor en Defense Factory, donde nuestros ingenieros usan nuestros modelos para encontrar fallas, reproducirlas y probar soluciones.
Las novedades de hoy buscan alentar y apoyar a los investigadores, y seguir construyendo un entorno de seguridad colaborativo que priorice a la comunidad.
Estamos multiplicando por más de cuatro, en promedio, el punto medio de nuestros rangos de recompensas por hallazgos de gravedad media, alta y crítica. Ahora, una vulnerabilidad crítica en un producto principal como ChatGPT, Codex o la Plataforma API recibirá una recompensa de hasta $30 000. Los hallazgos críticos excepcionales en esos productos siguen siendo elegibles para recompensas de hasta $100 000 y, ahora, de hasta $172 000 con bonos. Puedes consultar todos los detalles en nuestro programa de recompensas por detectar vulnerabilidades de seguridad(se abre en una nueva ventana).
Los informes de alta calidad podrán recibir un multiplicador de bonificación sobre la recompensa base. Una prueba de concepto confiable que aísle la falla, muestre cuándo se puede explotar y demuestre su impacto nos permite avanzar más rápido hacia una solución. El multiplicador por calidad reconoce el trabajo adicional que hace que un hallazgo sea especialmente útil.
Para establecer relaciones a largo plazo y apoyar de forma continua a nuestra comunidad de seguridad, estamos lanzando un programa de bonos por lealtad con distintos niveles. Este sistema de 5 niveles ofrece bonos crecientes para reconocer, apoyar y celebrar a los investigadores que colaboran constantemente con nosotros para hacer que la tecnología de IA sea más segura para todos.
Para fomentar la participación de la comunidad a medida que evoluciona la tecnología, las campañas prioritarias contarán con fondos específicos para otorgar bonos por funciones recién lanzadas. Estas campañas de corta duración ofrecen a los investigadores oportunidades para probar novedades desde el principio, recibir grandes recompensas y obtener reconocimiento por sus primeras contribuciones.
Ejemplo de vulnerabilidad | Ejemplo de recompensa anterior | Ejemplo del nuevo cálculo de pago | Nueva recompensa |
Media - ChatGPT (activo principal): un miembro con acceso de solo lectura puede cargar archivos a un proyecto sin permiso de escritura. | $750 | $2000 × 1,15 de bono por calidad × 1,05 de bono por lealtad de nivel Bronce | $2415 |
Alta - Prism (activo no principal): una referencia directa insegura a objetos (IDOR) permite leer un archivo cargado al proyecto de un usuario | $1000 | $2500 × 1,15 de bono por calidad × 1,10 de bono por lealtad de nivel Oro | $3162,50 |
Crítica - ChatGPT (activo principal): toma de control de una cuenta sin interacción del usuario. | $6500 | $30 000 × 1,15 de bono por calidad × 1,30 de bono por campaña prioritaria × 1,15 de bono por lealtad de nivel 31337 | $51 577 |
Excepcional - ChatGPT (activo principal): vulneración significativa de una barrera de seguridad (por ejemplo, la capacidad de ver los mensajes de chat de cualquier usuario de ChatGPT). | $100 000 | $100 000 × 1,15 por calidad × 1,30 por campaña prioritaria × 1,15 por lealtad de nivel 31337 | $171 925 |
Todos los escenarios y las recompensas anteriores se presentan a modo de ejemplo.
Si ya enviaste un informe y aún no hemos otorgado una recompensa, aplicaremos los nuevos rangos de recompensas. Para las recompensas que otorgamos en los 30 días anteriores a este anuncio, te pagaremos la diferencia si tu hallazgo hubiera recibido una recompensa mayor con los nuevos rangos (recompensa base + recompensas por lealtad).
El 20 y 21 de noviembre, nuestro equipo de seguridad estará en PROMPT2PWN(se abre en una nueva ventana) en Oakland, donde los investigadores podrán poner a prueba los sistemas de forma presencial. Si vas a asistir, nos encantaría saber en qué has estado trabajando y cómo podemos colaborar contigo.
Gracias a todas las personas que han dedicado tiempo a investigar indicios de vulnerabilidades y comunicarnos sus hallazgos. Queremos que OpenAI sea un equipo al que vuelvas a acudir cuando encuentres algo que hayamos pasado por alto.
