Suuremmat haavoittuvuuspalkkiot tietoturvan puolustajille
Korotamme OpenAI:n haavoittuvuuspalkkio-ohjelman palkkioita kannustaaksemme riippumattomia tutkijoita etsimään OpenAI:n ohjelmistoista haavoittuvuuksia, jotka ovat saattaneet jäädä testeissämme huomaamatta. Otamme käyttöön myös uusia kannustimia, joiden ansiosta tutkijat voivat ansaita enemmän laadukkaista haavoittuvuusraporteista.
Riippumattomilla tietoturvatutkijoilla on keskeinen rooli teknologian suojaamisessa koko alalla. Vastuulliseen raportointiin kannustaminen on keskeinen osa OpenAI:n tietoturvamallia. Se täydentää Defense Factory -työtämme, jossa insinöörimme käyttävät mallejamme heikkouksien löytämiseen ja toistamiseen sekä korjausten testaamiseen.
Tänään julkistettavien uudistusten tarkoituksena on kannustaa tutkijoita, tukea heidän työtään ja jatkaa yhteistyöhön perustuvan, yhteisölähtöisen tietoturvaympäristön rakentamista.
Korotamme keskivakavien, vakavien ja kriittisten löydösten palkkiohaarukoiden keskipisteitä keskimäärin yli nelinkertaisiksi. Kriittisestä haavoittuvuudesta ydintuotteessa, kuten ChatGPT:ssä, Codexissa tai API-alustassa, voi nyt ansaita jopa 30 000 dollaria. Poikkeuksellisista kriittisistä löydöksistä näissä kohteissa voi edelleen saada jopa 100 000 dollaria ja nyt bonuksineen jopa 172 000 dollaria. Tarkat tiedot ovat saatavilla haavoittuvuuspalkkio-ohjelmamme sivulla(avautuu uudessa ikkunassa).
Laadukkaiden raporttien peruspalkkiota voidaan korottaa bonuskertoimella. Luotettava havainnollistava esimerkki, joka rajaa virheen, näyttää, milloin sitä voi hyödyntää, ja osoittaa sen vaikutukset, auttaa meitä pääsemään korjaustyössä heti alkuun. Laatukerroin palkitsee lisätyöstä, joka tekee löydöksestä erityisen hyödyllisen.
Otamme käyttöön porrastetun sitoutumisbonusohjelman, jotta voimme rakentaa pitkäaikaisia yhteistyösuhteita ja tukea tietoturvayhteisöämme jatkuvasti. Viisitasoisen järjestelmän kasvavilla bonuksilla annamme tunnustusta ja tukea tutkijoille, jotka tekevät kanssamme jatkuvasti yhteistyötä tekoälyteknologian parantamiseksi turvallisemmaksi kaikille.
Tuemme yhteisön osallistumista teknologian kehittyessä järjestämällä painopistekampanjoita, joissa vastikään julkaistujen ominaisuuksien tutkimiseen varataan erilliset bonuspotit. Näissä lyhyissä kampanjoissa tutkijat pääsevät testaamaan uudistuksia varhaisessa vaiheessa, ansaitsemaan suuria palkkioita ja saamaan tunnustusta varhaisesta panoksestaan.
Esimerkkihaavoittuvuus | Esimerkki aiemmasta palkkiosta | Esimerkki uudesta palkkiolaskennasta | Uusi palkkio |
Keskivakava – ChatGPT (ydinkohde): Jäsen, jolla on vain lukuoikeus, voi ladata tiedostoja projektiin ilman kirjoitusoikeutta. | 750 $ | 2 000 $ × 1,15 (laatubonus) × 1,05 (sitoutumisohjelman pronssitason bonus) | 2 415 $ |
Vakava – Prism (muu kuin ydinkohde): IDOR-haavoittuvuus, jonka avulla voi lukea käyttäjän projektiin ladatun tiedoston | 1 000 $ | 2 500 $ × 1,15 (laatubonus) × 1,10 (sitoutumisohjelman kultatason bonus) | 3 162,50 $ |
Kriittinen – ChatGPT (ydinkohde): Tilin kaappaus ilman käyttäjän toimia. | 6 500 $ | 30 000 $ × 1,15 (laatubonus) × 1,30 (painopistekampanjan bonus) × 1,15 (sitoutumisohjelman 31337-tason bonus) | 51 577 $ |
Poikkeuksellinen – ChatGPT (ydinkohde): Merkittävä suojausrajan murto (esim. mahdollisuus tarkastella kenen tahansa ChatGPT‑käyttäjän keskusteluviestejä). | 100 000 $ | 100 000 $ × 1,15 (laatu) × 1,30 (painopistekampanja) × 1,15 (sitoutumisohjelman taso 31337) | 171 925 $ |
Kaikki skenaariot ja aiemmat palkkiot ovat havainnollistavia esimerkkejä.
Jos olet jo lähettänyt raportin emmekä ole vielä myöntäneet palkkiota, sovellamme uusia palkkiohaarukoita. Jos myönsimme sinulle palkkion 30 päivän aikana ennen tätä julkistusta, maksamme erotuksen, jos löydöksesi olisi oikeuttanut suurempaan palkkioon uusien haarukoiden mukaan (peruspalkkio + sitoutumispalkkiot).
Tietoturvatiimimme osallistuu 20.–21. marraskuuta Oaklandissa järjestettävään PROMPT2PWN(avautuu uudessa ikkunassa)-tapahtumaan, jossa tutkijat voivat testata kohteita paikan päällä. Jos olet tulossa, kuulisimme mielellämme työstäsi ja siitä, miten voisimme tehdä yhteistyötä.
Kiitos kaikille, jotka ovat käyttäneet aikaansa mahdollisen haavoittuvuuden tutkimiseen ja siitä raportoimiseen meille. Haluamme, että käännyt OpenAI:n tiimin puoleen jatkossakin, kun löydät jotain, mikä on jäänyt meiltä huomaamatta.
