Višje nagrade za varuhe varnosti, ki odkrivajo ranljivosti
Zvišujemo nagrade v programu OpenAI za odkrivanje varnostnih ranljivosti, da bi neodvisne raziskovalce še bolj spodbudili k iskanju ranljivosti v programski opremi OpenAI, ki smo jih pri testiranju morda spregledali. Uvajamo tudi nove spodbude, s katerimi lahko raziskovalci za kakovostnejša poročila o ranljivostih prejmejo višje nagrade.
Neodvisni varnostni raziskovalci imajo ključno vlogo pri zagotavljanju varnosti tehnologije v celotni panogi. Pri OpenAI je spodbujanje odgovornega razkrivanja ranljivosti osrednji del našega varnostnega modela. Dopolnjuje naše delo v okviru pobude Defense Factory, kjer naši inženirji z našimi modeli iščejo šibke točke, jih reproducirajo in preizkušajo popravke.
Z današnjimi novostmi želimo spodbuditi raziskovalce, jim omogočiti učinkovitejše delo in še naprej graditi varnostno okolje, ki temelji na sodelovanju in v ospredje postavlja skupnost.
Srednje vrednosti razponov nagrad za odkrite ranljivosti srednje, visoke in kritične resnosti v povprečju povečujemo za več kot štirikrat. Odkritje kritične ranljivosti v ključnem izdelku, kot so ChatGPT, Codex ali Platforma API, bo po novem nagrajeno z do 30.000 $. Za izjemna odkritja kritičnih ranljivosti v teh izdelkih je še vedno mogoče prejeti do 100.000 $, po novem pa z dodatki do 172.000 $. Vse podrobnosti so na voljo v našem programu nagrajevanja za odkrivanje varnostnih ranljivosti(odpre se v novem oknu).
Za kakovostna poročila bo mogoče osnovno nagrado povečati z dodatnim multiplikatorjem. Zanesljiv praktični prikaz, ki jasno opredeli napako, pokaže, kdaj jo je mogoče izkoristiti, in ponazori njen vpliv, nam olajša začetek dela pri odpravljanju napake. Z multiplikatorjem za kakovost nagrajujemo dodatno delo, zaradi katerega je odkritje še posebej uporabno.
Da bi gradili dolgoročne odnose in stalno podpirali našo varnostno skupnost, uvajamo program dodatkov za zvestobo z več stopnjami. Ta petstopenjski sistem prinaša vse višje dodatke, s katerimi izkazujemo priznanje in podporo raziskovalcem, ki z nami redno sodelujejo pri zagotavljanju varnejše tehnologije UI za vse.
Za spodbujanje sodelovanja skupnosti ob razvoju tehnologije bodo prednostne kampanje vključevale namenska sredstva za dodatno nagrajevanje preizkušanja novo uvedenih funkcij. Te kratkoročne kampanje raziskovalcem omogočajo, da med prvimi preizkusijo novosti, prejmejo visoke nagrade in priznanje za svoje zgodnje prispevke.
Primer ranljivosti | Primer dosedanje nagrade | Primer novega izračuna izplačila | Nova nagrada |
Srednja resnost – ChatGPT (ključni sistem): Član z dostopom samo za branje lahko nalaga datoteke v projekt brez dovoljenja za pisanje. | 750 $ | 2.000 $ × 1,15 za kakovost × 1,05 za bronasto stopnjo zvestobe | 2.415 $ |
Visoka resnost – Prism (neključni sistem): Ranljivost IDOR omogoča branje datoteke, naložene v uporabnikov projekt. | 1.000 $ | 2.500 $ × 1,15 za kakovost × 1,10 za zlato stopnjo zvestobe | 3.162,50 $ |
Kritična resnost – ChatGPT (ključni sistem): Prevzem računa brez uporabnikovega klika. | 6.500 $ | 30.000 $ × 1,15 za kakovost × 1,30 za prednostno kampanjo × 1,15 za stopnjo zvestobe 31337 | 51.577 $ |
Izjemno odkritje – ChatGPT (ključni sistem): Resen preboj varnostne meje (npr. možnost vpogleda v sporočila v klepetih poljubnih uporabnikov ChatGPT). | 100.000 $ | 100.000 $ × 1,15 za kakovost × 1,30 za prednostno kampanjo × 1,15 za stopnjo zvestobe 31337 | 171.925 $ |
Vsi scenariji in dosedanje nagrade so navedeni za ponazoritev.
Če ste poročilo že oddali, nagrade pa vam še nismo dodelili, bomo uporabili nove razpone nagrad. Za nagrade, ki smo jih dodelili v 30 dneh pred to objavo, vam bomo izplačali razliko, če bi bilo vaše odkritje po novih razponih vredno več (osnovna nagrada + nagrade za zvestobo).
Naša varnostna ekipa bo 20. in 21. novembra na dogodku PROMPT2PWN(odpre se v novem oknu) v Oaklandu, kjer bodo lahko raziskovalci v živo preizkušali ciljne sisteme. Če boste tam, bomo z veseljem prisluhnili, s čim se ukvarjate in kako bi lahko sodelovali.
Hvala vsem, ki ste si vzeli čas, da raziščete sum na ranljivost in nam o njem poročate. Želimo, da je OpenAI ekipa, na katero se znova obrnete, ko odkrijete nekaj, kar smo spregledali.
