מתגמלים את המגינים בתגמולים גבוהים יותר על איתור חולשות
אנחנו מגדילים את התגמולים בתוכנית של OpenAI לאיתור חולשות אבטחה, כדי לעודד עוד חוקרים עצמאיים לחפש חולשות בתוכנות של OpenAI שייתכן שחמקו מהבדיקות שלנו. אנחנו גם מציעים תמריצים חדשים שיאפשרו לחוקרים לקבל תגמולים גבוהים יותר על דיווחי חולשות איכותיים יותר.
לחוקרי אבטחה עצמאיים יש תפקיד חיוני בהגנה על טכנולוגיה בכל רחבי התעשייה. ב-OpenAI, מתן תמריצים לחשיפה אחראית הוא חלק מרכזי במודל האבטחה שלנו. הוא משלים את פעילות Defense Factory, שבה המהנדסים שלנו משתמשים במודלים שלנו כדי למצוא חולשות, לשחזר אותן ולבדוק תיקונים.
העדכונים של היום נועדו לעודד חוקרים ולהעצים אותם, ולהמשיך לבנות סביבת אבטחה שיתופית שמציבה את הקהילה במרכז.
אנחנו מגדילים בממוצע ביותר מפי ארבעה את נקודת האמצע של טווחי התגמולים על ממצאים ברמת חומרה בינונית, גבוהה וקריטית. חולשה קריטית במוצר ליבה כמו ChatGPT, Codex או פלטפורמת API תזכה כעת בתגמול של עד $30,000. ממצאים קריטיים יוצאי דופן במוצרים האלה עדיין יכולים לזכות בתגמול של עד $100,000, וכעת עד $172,000 כולל בונוסים. הפרטים המלאים זמינים בתוכנית התגמולים שלנו לאיתור חולשות אבטחה(נפתח בחלון חדש).
דיווחים איכותיים יוכלו לזכות במכפיל בונוס על התגמול הבסיסי. הוכחת היתכנות אמינה שמבודדת את הבאג, מראה באילו תנאים אפשר לנצל אותו ומדגימה את השפעתו, מאפשרת לנו להתקדם מהר יותר לקראת תיקון. מכפיל האיכות נותן הכרה בעבודה הנוספת שהופכת ממצא למועיל במיוחד.
כדי לבנות קשרים ארוכי טווח ולהמשיך להעצים את קהילת האבטחה שלנו, אנחנו משיקים תוכנית בונוסים מדורגת לנאמנות. התוכנית כוללת חמש דרגות עם בונוסים הולכים וגדלים, כדי להוקיר, לתמוך ולתת הכרה לחוקרים שפועלים איתנו בעקביות כדי להפוך את טכנולוגיית ה-AI לבטוחה יותר לכולם.
כדי לעודד את מעורבות הקהילה עם התפתחות הטכנולוגיה, קמפיינים בעדיפות גבוהה יכללו תקציבי בונוסים ייעודיים לתכונות שהושקו לאחרונה. הקמפיינים הקצרים האלה מאפשרים לחוקרים לבדוק פיתוחים חדשים בשלב מוקדם, לזכות בתגמולים גבוהים ולקבל הכרה על תרומתם המוקדמת.
חולשה לדוגמה | תגמול קודם לדוגמה | דוגמה לחישוב התגמול החדש | התגמול החדש |
חומרה בינונית – ChatGPT (נכס ליבה): חבר בעל הרשאת קריאה בלבד יכול להעלות קבצים לפרויקט ללא הרשאת כתיבה. | $750 | $2,000 × 1.15 בונוס איכות × 1.05 בונוס נאמנות בדרגת ארד | $2,415 |
חומרה גבוהה – Prism (נכס שאינו נכס ליבה): חולשת IDOR שמאפשרת לקרוא קובץ שהועלה לפרויקט של משתמש | $1,000 | $2,500 × 1.15 בונוס איכות × 1.10 בונוס נאמנות בדרגת זהב | $3,162.50 |
חומרה קריטית – ChatGPT (נכס ליבה): השתלטות על חשבון ללא צורך בלחיצה מצד המשתמש. | $6,500 | $30,000 × 1.15 בונוס איכות × 1.30 בונוס קמפיין בעדיפות גבוהה × 1.15 בונוס נאמנות בדרגת 31337 | $51,577 |
יוצאת דופן – ChatGPT (נכס ליבה): פריצה משמעותית של גבול אבטחה (למשל, יכולת לצפות בהודעות הצ'אט של משתמשי ChatGPT כלשהם). | $100,000 | $100,000 × 1.15 איכות × 1.30 קמפיין בעדיפות גבוהה × 1.15 נאמנות בדרגת 31337 | $171,925 |
כל התרחישים והתגמולים הקודמים מובאים להמחשה בלבד.
אם כבר הגשתם דיווח ועדיין לא הענקנו לכם תגמול, נחיל את טווחי התגמולים החדשים. לגבי תגמולים שהענקנו ב-30 הימים שלפני ההכרזה הזו, נשלם לכם את ההפרש אם הממצא שלכם היה מזכה בתגמול גבוה יותר לפי הטווחים החדשים (תגמול בסיסי + תגמולי נאמנות).
ב-20–21 בנובמבר, צוות האבטחה שלנו ישתתף ב-PROMPT2PWN(נפתח בחלון חדש) באוקלנד, שם חוקרים יוכלו לבדוק יעדים לאיתור חולשות באופן פרונטלי. אם תהיו שם, נשמח לשמוע על מה אתם עובדים ואיך נוכל לשתף איתכם פעולה.
תודה לכל מי שהקדישו זמן לבדוק קצה חוט ולדווח לנו על הממצאים. אנחנו רוצים שהצוות של OpenAI יהיה הכתובת שאליה תחזרו כשתמצאו משהו שפספסנו.
