Mayores recompensas por detectar vulnerabilidades para quienes nos protegen
Vamos a aumentar las recompensas del programa de detección de vulnerabilidades de seguridad de OpenAI para animar aún más a los investigadores independientes a buscar vulnerabilidades en el software de OpenAI que hayan podido pasar desapercibidas en nuestras pruebas. También vamos a introducir nuevos incentivos para que los investigadores reciban mayores recompensas por los informes de vulnerabilidades de mayor calidad.
Los investigadores de seguridad independientes desempeñan un papel esencial en la protección de la tecnología en todo el sector. En OpenAI, incentivar la divulgación responsable es una parte fundamental de nuestro modelo de seguridad y complementa el trabajo de Defense Factory, donde nuestros ingenieros utilizan nuestros modelos para encontrar puntos débiles, reproducirlos y probar soluciones.
Las novedades de hoy buscan animar a los investigadores y darles más apoyo, así como seguir construyendo un entorno de seguridad colaborativo que dé prioridad a la comunidad.
Vamos a multiplicar por más de cuatro, de media, el punto medio de nuestros intervalos de recompensas para los hallazgos de gravedad media, alta y crítica. Una vulnerabilidad crítica en un producto principal como ChatGPT, Codex o la Plataforma API recibirá ahora una recompensa de hasta 30 000 $. Los hallazgos críticos excepcionales en esos productos seguirán pudiendo recibir hasta 100 000 $, y ahora hasta 172 000 $ con las bonificaciones. Todos los detalles están disponibles en nuestro programa de recompensas por detectar vulnerabilidades de seguridad(se abre en una ventana nueva).
Los informes de alta calidad podrán recibir una bonificación que multiplique la recompensa base. Una prueba de concepto fiable que aísle el fallo, muestre cuándo se puede explotar y demuestre su impacto nos permite avanzar más rápido hacia una solución. El multiplicador por calidad reconoce el trabajo adicional que hace que un hallazgo sea especialmente útil.
Para forjar relaciones duraderas y seguir apoyando a nuestra comunidad de seguridad, vamos a introducir un programa de bonificaciones por fidelidad dividido en niveles. Este sistema de 5 niveles ofrece bonificaciones crecientes para reconocer, apoyar y celebrar a los investigadores que colaboran con nosotros de forma constante para hacer que la tecnología de IA sea más segura para todos.
Para fomentar la participación de la comunidad a medida que evoluciona la tecnología, las campañas prioritarias contarán con fondos específicos para bonificaciones por funciones recién lanzadas. Estas campañas de corta duración ofrecen a los investigadores oportunidades de probar las novedades desde el principio, con grandes recompensas y reconocimiento por sus primeras contribuciones.
Ejemplo de vulnerabilidad | Ejemplo de recompensa anterior | Ejemplo del nuevo cálculo de recompensas | Nueva recompensa |
Gravedad media - ChatGPT (activo principal): un miembro con acceso de solo lectura puede subir archivos a un proyecto sin permiso de escritura. | 750 $ | 2000 $ × 1,15 por calidad × 1,05 por fidelidad de nivel bronce | 2415 $ |
Gravedad alta - Prism (activo no principal): una referencia directa insegura a objetos (IDOR) permite leer un archivo subido al proyecto de un usuario | 1000 $ | 2500 $ × 1,15 por calidad × 1,10 por fidelidad de nivel oro | 3162,50 $ |
Gravedad crítica - ChatGPT (activo principal): toma de control de una cuenta sin interacción del usuario. | 6500 $ | 30 000 $ × 1,15 por calidad × 1,30 por campaña prioritaria × 1,15 por fidelidad de nivel 31337 | 51 577 $ |
Excepcional - ChatGPT (activo principal): vulneración significativa de una barrera de seguridad (p. ej., la capacidad de ver los mensajes de chat de cualquier usuario de ChatGPT). | 100 000 $ | 100 000 $ × 1,15 por calidad × 1,30 por campaña prioritaria × 1,15 por fidelidad de nivel 31337 | 171 925 $ |
Todos los casos y las recompensas anteriores se incluyen a modo de ejemplo.
Si ya has enviado un informe y aún no hemos concedido una recompensa, aplicaremos los nuevos intervalos de recompensas. Para las recompensas que concedimos en los 30 días anteriores a este anuncio, te pagaremos la diferencia si tu hallazgo hubiera recibido una recompensa mayor con los nuevos intervalos (recompensa base + recompensas por fidelidad).
Los días 20 y 21 de noviembre, nuestro equipo de seguridad estará en PROMPT2PWN(se abre en una ventana nueva), en Oakland, donde los investigadores podrán poner a prueba los sistemas de forma presencial. Si vas a asistir, nos encantaría saber en qué has estado trabajando y cómo podemos colaborar contigo.
Gracias a todas las personas que han dedicado tiempo a investigar un indicio y comunicárnoslo. Queremos que OpenAI sea un equipo al que vuelvas a acudir cuando encuentres algo que se nos haya pasado por alto.
