Повышаем вознаграждения защитникам за поиск уязвимостей
Мы повышаем вознаграждения в программе OpenAI по поиску уязвимостей, чтобы дополнительно мотивировать независимых исследователей искать в нашем ПО уязвимости, которые могли остаться незамеченными при тестировании. Мы также вводим новые бонусы, которые позволят исследователям получать больше за качественные отчеты об уязвимостях.
Независимые исследователи безопасности играют важнейшую роль в защите технологий во всей отрасли. В OpenAI поощрение ответственного раскрытия информации об уязвимостях — ключевая часть нашего подхода к безопасности. Оно дополняет работу в рамках Defense Factory, где наши инженеры используют наши модели для поиска слабых мест, воспроизведения проблем и проверки исправлений.
Сегодняшние изменения призваны поддержать исследователей, расширить их возможности и помочь нам и дальше развивать сотрудничество в сфере безопасности, ставя сообщество на первое место.
Мы повышаем средние значения диапазонов вознаграждений за уязвимости средней, высокой и критической степени серьезности — в среднем более чем в четыре раза. За критическую уязвимость в одном из основных продуктов, таких как ChatGPT, Codex или Платформа API, теперь можно получить до 30 000 долларов. За особо значимые критические уязвимости в этих продуктах по-прежнему можно получить до 100 000 долларов, а теперь с учетом бонусов — до 172 000 долларов. Подробности доступны на странице нашей программы вознаграждений за поиск уязвимостей(открывается в новом окне).
За качественные отчеты к базовому вознаграждению может применяться повышающий коэффициент. Надежный пример эксплуатации, который позволяет воспроизвести уязвимость отдельно от других проблем, показывает условия ее эксплуатации и последствия, помогает нам быстрее приступить к исправлению. Коэффициент за качество — это признание дополнительной работы, благодаря которой отчет становится особенно полезным.
Чтобы выстраивать долгосрочные отношения и постоянно поддерживать наше сообщество исследователей безопасности, мы вводим многоуровневую программу бонусов за лояльность. В этой системе из пяти уровней бонусы растут по мере продвижения. Так мы отмечаем вклад и поддерживаем исследователей, которые регулярно сотрудничают с нами, делая технологии ИИ безопаснее для всех.
Чтобы сообщество активно участвовало в проверке развивающихся технологий, мы будем выделять отдельные бонусные фонды для тестирования новых функций в рамках приоритетных кампаний. Эти краткосрочные кампании позволят исследователям одними из первых тестировать новые разработки и получать повышенные вознаграждения за вклад на раннем этапе.
Пример уязвимости | Пример прежнего вознаграждения | Пример расчета новой выплаты | Новое вознаграждение |
Средняя серьезность — ChatGPT (основной продукт): участник с доступом только для чтения может загружать файлы в проект без разрешения на запись. | 750 $ | 2 000 $ × 1,15 за качество × 1,05 за бронзовый уровень программы лояльности | 2 415 $ |
Высокая серьезность — Prism (неосновной продукт): IDOR позволяет прочитать файл, загруженный в проект пользователя. | 1 000 $ | 2 500 $ × 1,15 за качество × 1,10 за золотой уровень программы лояльности | 3 162,50 $ |
Критическая серьезность — ChatGPT (основной продукт): захват аккаунта без каких-либо действий со стороны пользователя. | 6 500 $ | 30 000 $ × 1,15 за качество × 1,30 за приоритетную кампанию × 1,15 за уровень 31337 программы лояльности | 51 577 $ |
Особо значимая уязвимость — ChatGPT (основной продукт): существенное нарушение границы безопасности (например, возможность просматривать сообщения в чатах произвольных пользователей ChatGPT). | 100 000 $ | 100 000 $ × 1,15 за качество × 1,30 за приоритетную кампанию × 1,15 за уровень 31337 программы лояльности | 171 925 $ |
Все сценарии и прежние суммы вознаграждений приведены для иллюстрации.
Если вы уже отправили отчет, но мы еще не назначили вознаграждение, мы применим новые диапазоны выплат. Если мы назначили вам вознаграждение в течение 30 дней до этого объявления, а по новым диапазонам ваша находка принесла бы больше, мы выплатим разницу (базовое вознаграждение + бонусы за лояльность).
20–21 ноября наша команда безопасности будет на PROMPT2PWN(открывается в новом окне) в Окленде, где исследователи смогут очно протестировать продукты на уязвимости. Если вы тоже будете там, мы будем рады узнать, над чем вы работаете, и обсудить возможности сотрудничества.
Спасибо всем, кто нашел время проверить подозрения об уязвимости и сообщить нам о результатах. Мы хотим, чтобы, обнаружив то, что мы упустили, вы снова обращались к команде OpenAI.
