Premi bug bounty più alti per chi ci protegge
Aumentiamo i premi del programma bug bounty per la sicurezza di OpenAI per incoraggiare ulteriormente i ricercatori indipendenti a individuare vulnerabilità nel software OpenAI che potrebbero essere sfuggite ai nostri test. Introduciamo anche nuovi incentivi che consentono ai ricercatori di ottenere premi più alti per segnalazioni di vulnerabilità di maggiore qualità.
I ricercatori di sicurezza indipendenti svolgono un ruolo essenziale nella protezione delle tecnologie in tutto il settore. In OpenAI, incentivare la divulgazione responsabile è un elemento centrale del nostro modello di sicurezza e affianca il lavoro della nostra Defense Factory, dove i nostri ingegneri usano i nostri modelli per individuare punti deboli, riprodurli e testare le correzioni.
Le novità di oggi mirano a incoraggiare e sostenere i ricercatori e a continuare a costruire un ambiente di sicurezza collaborativo che metta al centro la comunità.
Più che quadruplichiamo, in media, il valore centrale delle fasce di premio per le vulnerabilità di gravità media, alta e critica. Una vulnerabilità critica in un prodotto principale come ChatGPT, Codex o la Piattaforma API potrà ora valere un premio fino a 30.000 $. Per le vulnerabilità critiche di portata eccezionale in questi prodotti restano previsti premi fino a 100.000 $, che ora possono raggiungere i 172.000 $ con i bonus. Tutti i dettagli sono disponibili nel nostro programma bug bounty per la sicurezza(si apre in una nuova finestra).
Le segnalazioni di alta qualità potranno beneficiare di un moltiplicatore bonus applicato al premio base. Una prova di fattibilità affidabile che isoli il bug, mostri quando può essere sfruttato e ne dimostri l'impatto ci permette di partire avvantaggiati nello sviluppo di una correzione. Il moltiplicatore per la qualità riconosce il lavoro aggiuntivo che rende una segnalazione particolarmente utile.
Per costruire relazioni durature e sostenere costantemente la nostra comunità di ricercatori di sicurezza, introduciamo un programma di bonus fedeltà a livelli. Questo sistema a 5 livelli prevede bonus crescenti per riconoscere, sostenere e valorizzare i ricercatori che collaborano regolarmente con noi per rendere la tecnologia di IA più sicura per tutti.
Per favorire la partecipazione della comunità con l'evolversi della tecnologia, le campagne prioritarie prevederanno fondi dedicati ai bonus per le funzionalità appena lanciate. Queste campagne di breve durata offrono ai ricercatori l'opportunità di testare le novità fin dall'inizio, con premi elevati che ne riconoscono i primi contributi.
Esempio di vulnerabilità | Esempio di premio precedente | Esempio del nuovo calcolo del premio | Nuovo premio |
Gravità media - ChatGPT (risorsa principale): un membro con accesso in sola lettura può caricare file in un progetto senza autorizzazione di scrittura. | 750 $ | 2.000 $ × 1,15 bonus qualità × 1,05 bonus fedeltà livello Bronzo | 2.415 $ |
Gravità alta - Prism (risorsa non principale): vulnerabilità IDOR che consente di leggere un file caricato nel progetto di un utente | 1.000 $ | 2.500 $ × 1,15 bonus qualità × 1,10 bonus fedeltà livello Oro | 3.162,50 $ |
Gravità critica - ChatGPT (risorsa principale): acquisizione del controllo di un account senza alcuna interazione da parte dell'utente. | 6.500 $ | 30.000 $ × 1,15 bonus qualità × 1,30 bonus campagna prioritaria × 1,15 bonus fedeltà livello 31337 | 51.577 $ |
Portata eccezionale - ChatGPT (risorsa principale): compromissione significativa di un confine di sicurezza (ad esempio, possibilità di visualizzare i messaggi di chat di qualsiasi utente di ChatGPT). | 100.000 $ | 100.000 $ × 1,15 qualità × 1,30 campagna prioritaria × 1,15 fedeltà livello 31337 | 171.925 $ |
Tutti gli scenari e i premi precedenti sono riportati a titolo illustrativo.
Se hai già inviato una segnalazione e non abbiamo ancora assegnato un premio, applicheremo le nuove fasce di premio. Per i premi assegnati nei 30 giorni precedenti a questo annuncio, ti pagheremo la differenza se la tua segnalazione avrebbe ottenuto un premio più alto con le nuove fasce (premio base + premi fedeltà).
Il 20 e 21 novembre, il nostro team di sicurezza sarà a PROMPT2PWN(si apre in una nuova finestra) a Oakland, dove i ricercatori potranno testare di persona i sistemi oggetto di ricerca. Se parteciperai, ci piacerebbe sapere a cosa stai lavorando e come possiamo collaborare con te.
Grazie a tutte le persone che hanno dedicato del tempo ad approfondire un indizio e a segnalarcelo. Vogliamo che OpenAI sia un team a cui torni a rivolgerti quando trovi qualcosa che ci è sfuggito.
