Hogere bugbounties voor beveiligingsonderzoekers
We verhogen de beloningen in het bugbountyprogramma voor beveiliging van OpenAI om onafhankelijke onderzoekers nog meer te stimuleren kwetsbaarheden in OpenAI-software op te sporen die we bij onze tests mogelijk hebben gemist. We introduceren ook nieuwe bonussen waarmee onderzoekers meer kunnen verdienen voor kwalitatief betere kwetsbaarheidsrapporten.
Onafhankelijke beveiligingsonderzoekers spelen een essentiële rol bij het beveiligen van technologie in de hele sector. Het stimuleren van verantwoorde melding van kwetsbaarheden is een kernonderdeel van ons beveiligingsmodel bij OpenAI. Het vormt een aanvulling op ons werk aan Defense Factory, waarbij onze engineers onze modellen gebruiken om zwakke plekken te vinden, te reproduceren en oplossingen te testen.
Met de wijzigingen van vandaag willen we onderzoekers stimuleren en ondersteunen, en verder bouwen aan een beveiligingsomgeving waarin samenwerking en de community centraal staan.
We verhogen het middenbedrag van onze beloningsschalen voor bevindingen met een gemiddelde, hoge en kritieke ernst gemiddeld met meer dan een factor vier. Een kritieke kwetsbaarheid in een kernproduct zoals ChatGPT, Codex of het API-platform levert nu tot $ 30.000 op. Uitzonderlijke kritieke bevindingen in die producten blijven in aanmerking komen voor maximaal $ 100.000, en nu tot $ 172.000 inclusief bonussen. Alle details vind je in ons bugbountyprogramma voor beveiliging(opent in een nieuw venster).
Hoogwaardige rapporten komen in aanmerking voor een bonusfactor waarmee de basisbeloning wordt vermenigvuldigd. Een betrouwbare proof-of-concept die de bug isoleert, laat zien wanneer deze kan worden misbruikt en de impact aantoont, geeft ons een voorsprong bij het vinden van een oplossing. De kwaliteitsfactor beloont het extra werk dat een bevinding bijzonder bruikbaar maakt.
Om langdurige relaties op te bouwen en onze beveiligingscommunity blijvend te ondersteunen, introduceren we een loyaliteitsprogramma met meerdere bonusniveaus. Dit systeem met vijf niveaus biedt oplopende bonussen om onderzoekers te waarderen, te ondersteunen en te belonen die steeds weer met ons samenwerken om AI-technologie voor iedereen veiliger te maken.
Om de community te betrekken bij technologische ontwikkelingen, stellen we bij prioriteitscampagnes speciale bonusbudgetten beschikbaar voor pas gelanceerde functies. Deze kortlopende campagnes geven onderzoekers de kans om nieuwe ontwikkelingen al vroeg te testen, daar hoge beloningen voor te ontvangen en erkenning te krijgen voor hun vroege bijdragen.
Voorbeeld van een kwetsbaarheid | Voorbeeld van de oude beloning | Voorbeeldberekening van de nieuwe beloning | Nieuwe beloning |
Gemiddeld - ChatGPT (kernproduct): Een lid met alleen leesrechten kan zonder schrijfrechten bestanden naar een project uploaden. | $ 750 | $ 2.000 × 1,15 kwaliteitsbonus × 1,05 loyaliteitsbonus voor niveau Brons | $ 2.415 |
Hoog - Prism (niet-kernproduct): IDOR waardoor een bestand kan worden gelezen dat naar het project van een gebruiker is geüpload | $ 1.000 | $ 2.500 × 1,15 kwaliteitsbonus × 1,10 loyaliteitsbonus voor niveau Goud | $ 3.162,50 |
Kritiek - ChatGPT (kernproduct): Accountovername zonder dat de gebruiker ergens op hoeft te klikken. | $ 6.500 | $ 30.000 × 1,15 kwaliteitsbonus × 1,30 prioriteitscampagnebonus × 1,15 loyaliteitsbonus voor niveau 31337 | $ 51.577 |
Uitzonderlijk - ChatGPT (kernproduct): Ernstige doorbreking van een beveiligingsgrens (bijvoorbeeld de mogelijkheid om chatberichten van willekeurige ChatGPT‑gebruikers te bekijken). | $ 100.000 | $ 100.000 × 1,15 kwaliteit × 1,30 prioriteitscampagne × 1,15 loyaliteit op niveau 31337 | $ 171.925 |
Alle scenario's en oude beloningen dienen ter illustratie.
Als je al een rapport hebt ingediend en we nog geen beloning hebben toegekend, passen we de nieuwe beloningsschalen toe. Voor beloningen die we in de 30 dagen vóór deze aankondiging hebben toegekend, betalen we je het verschil als je bevinding volgens de nieuwe schalen meer zou hebben opgeleverd (basisbeloning + loyaliteitsbonussen).
Op 20 en 21 november is ons beveiligingsteam aanwezig bij PROMPT2PWN(opent in een nieuw venster) in Oakland, waar onderzoekers ter plaatse producten op kwetsbaarheden kunnen testen. Ben je erbij? Dan horen we graag waar je aan werkt en hoe we met je kunnen samenwerken.
Dank aan iedereen die de tijd heeft genomen om een mogelijke kwetsbaarheid te onderzoeken en bij ons te melden. We willen dat je bij het team van OpenAI blijft aankloppen wanneer je iets vindt dat we hebben gemist.
