Більші винагороди фахівцям з кіберзахисту за виявлення вразливостей
Ми підвищуємо винагороди в програмі OpenAI за виявлення вразливостей, щоб додатково заохотити незалежних дослідників шукати вразливості в програмному забезпеченні OpenAI, які могли залишитися непоміченими під час нашого тестування. Ми також запроваджуємо нові стимули, завдяки яким дослідники зможуть отримувати більше за якісніші звіти про вразливості.
Незалежні дослідники безпеки відіграють важливу роль у захисті технологій у всій галузі. В OpenAI заохочення відповідального розкриття вразливостей — ключова складова нашого підходу до безпеки. Воно доповнює роботу в межах програми «Defense Factory», в рамках якої наші інженери використовують наші моделі, щоб знаходити слабкі місця, відтворювати їх і перевіряти виправлення.
Сьогоднішні оновлення покликані підтримати й надихнути дослідників та сприяти подальшому розвитку середовища безпеки, у якому на першому місці інтереси спільноти та співпраця.
У середньому ми підвищуємо середини діапазонів винагород за вразливості середньої, високої та критичної тяжкості більш ніж учетверо. За критичну вразливість в основному продукті, як-от ChatGPT, Codex або API Platform, тепер можна отримати до 30 000 $. За вразливості рівня «Виняткова» в цих продуктах, як і раніше, можна отримати до 100 000 $, а тепер із бонусами — до 172 000 $. Повну інформацію наведено на сторінці нашої програми винагород за виявлення вразливостей(відкривається у новому вікні).
За якісні звіти до базової винагороди можна буде застосувати бонусний множник. Надійний доказ здійсненності атаки (PoC), який чітко локалізує вразливість, показує умови її експлуатації та демонструє наслідки, допомагає нам швидше почати роботу над виправленням. Множник за якість відзначає додаткову роботу, яка робить знахідку особливо корисною.
Щоб будувати довгострокові відносини та постійно розширювати можливості нашої спільноти дослідників безпеки, ми запроваджуємо багаторівневу програму бонусів за лояльність. Ця система має 5 рівнів зі зростанням бонусів на кожному з них. Так ми хочемо відзначати, підтримувати й цінувати дослідників, які постійно співпрацюють із нами, щоб зробити технології ШІ безпечнішими для всіх.
Щоб підтримувати залученість спільноти в міру розвитку технологій, у межах пріоритетних кампаній ми виділятимемо окремі бонусні фонди для перевірки нещодавно запущених функцій. Ці короткострокові кампанії дають дослідникам змогу одними з перших тестувати нові розробки, отримувати високі винагороди та визнання за свій ранній внесок.
Приклад вразливості | Приклад попередньої винагороди | Приклад нового розрахунку виплати | Нова винагорода |
Середня тяжкість — ChatGPT (основний ресурс): учасник із доступом лише для читання може завантажувати файли в Проєкт без дозволу на запис. | 750 $ | 2 000 $ × 1,15 за якість × 1,05 за бронзовий рівень лояльності | 2 415 $ |
Висока тяжкість — Prism (неосновний ресурс): IDOR, що дає змогу читати файл, завантажений у Проєкт користувача. | 1 000 $ | 2 500 $ × 1,15 за якість × 1,10 за золотий рівень лояльності | 3 162,50 $ |
Критична тяжкість — ChatGPT (основний ресурс): захоплення облікового запису без жодних дій із боку користувача (zero-click). | 6 500 $ | 30 000 $ × 1,15 за якість × 1,30 за пріоритетну кампанію × 1,15 за рівень лояльності 31337 | 51 577 $ |
Виняткова тяжкість — ChatGPT (основний ресурс): суттєве порушення межі безпеки (наприклад, можливість переглядати повідомлення в чатах довільних користувачів ChatGPT). | 100 000 $ | 100 000 $ × 1,15 за якість × 1,30 за пріоритетну кампанію × 1,15 за рівень лояльності 31337 | 171 925 $ |
Усі сценарії та суми попередніх винагород наведено лише для прикладу.
Якщо ви вже подали звіт, але ми ще не призначили винагороду, ми застосуємо нові діапазони винагород. Якщо ми призначили вам винагороду протягом 30 днів до цього оголошення, а за новими діапазонами ваша знахідка заслуговувала б на більшу суму, ми доплатимо різницю (базова винагорода + бонуси за лояльність).
20–21 листопада наша команда безпеки буде на PROMPT2PWN(відкривається у новому вікні) в Окленді, де дослідники зможуть тестувати визначені ресурси безпосередньо на заході. Якщо ви теж будете там, ми з радістю послухаємо, над чим ви працюєте, та обговоримо можливості співпраці.
Дякуємо всім, хто знайшов час перевірити підозру на вразливість і повідомити нам про неї. Ми хочемо, щоб ви знову зверталися до команди OpenAI, коли знаходите щось, що ми пропустили.
