OpenAI frissítette Security Bug Bounty programját: növelték a kifizetési sávok középértékét a közepes, magas és kritikus besorolású sebezhetőségek esetén, és új ösztönzőket vezettek be a jobb minőségű jelentések, a hűséges kutatók és az új funkciók korai ellenőrzésének jutalmazására.
Mit változtattak meg?
- Átlagosan több mint négyszeresére emelték a jutalomsávok középértékét a közepes, magas és kritikus hibákra.\
- Kritikus sebezhetőség a ChatGPT, Codex vagy az API Platform alapfunkcióiban mostantól akár 30 000 dollár alapjutalmat érhet.\
- Kiemelkedő kritikus találatok továbbra is jogosultak lehetnek 100 000 dolláros alapjutalomra, és most bónuszokkal együtt összesen akár 172 000 dollárig terjedő kifizetésre is esély van.\
- Bevezették a „quality multiplier” rendszert: magas minőségű, megbízható proof-of-concept vagy reprodukálható exploit bemutatása többszöröst adhat az alapjutalomhoz.\
- Új, öt szintből álló hűségbónusz-programot indítanak, amely skálázódó kiegészítőket ad a visszatérő, rendszeresen együttműködő kutatóknak.
- Rövid távú priority kampányok külön bónuszalapokkal támogatják az éppen bevezetett funkciók korai tesztelését.
Példák (illusztratív számítások)
OpenAI a közleményben néhány példapéldát is mutatott, amelyek szemléltetik, hogyan épülnek a bónuszok:
-
Közepes — ChatGPT (core asset): egy read-only tag képes fájlokat feltölteni egy Projectbe írási jogosultság nélkül.
- $2,000 × 1.15 Quality Bonus × 1.05 Bronze Loyalty Tier Bonus
-
Magas — Prism (non-core asset): IDOR, amely lehetővé teszi egy Projectbe feltöltött fájl olvasását.
- $2,500 × 1.15 Quality Bonus × 1.10 Gold Loyalty Tier Bonus
-
Kritikus — ChatGPT (core asset): egy kattintásos fiókátvétel.
- $30,000 × 1.15 Quality Bonus × 1.30 Priority Campaign Bonus × 1.15 31337 Loyalty Tier Bonus
-
Kiemelkedő — ChatGPT (core asset): jelentős biztonsági határ kompromittálása (például tetszőleges ChatGPT-felhasználók csevegéseinek megtekintése).
- $100,000 × 1.15 Quality × 1.30 Priority Campaign × 1.15 31337 loyalty
A cég hangsúlyozta, hogy ezek és a korábbi díjak illusztratívak és történelmi példák is szerepelnek a dokumentációban.
Visszamenőleges és folyamatban lévő ügyek
- Ha valaki már benyújtott jelentést és még nem kapta meg a jutalmat, az új jutalomsávokat alkalmazni fogják az ügyre.\
- Azokra a díjakra, amelyeket a bejelentés előtti 30 napban ítéltek meg, OpenAI kifizeti a különbözetet, ha az új sávok alapján többet érne a találat (alapjutalom + hűségbónuszok).
Kapcsolat a kutatókkal, események
OpenAI azt ígéri, hogy a változtatások célja a kutatók ösztönzése és a közösségi alapú, együttműködő biztonsági környezet erősítése. A cég biztonsági csapata részt vesz a PROMPT2PWN rendezvényen Oaklandben november 20–21-én, ahol a kutatók személyesen is tesztelhetik a célpontokat és megvitathatják együttműködési lehetőségeket.
Miért fontos ez?
Független biztonsági kutatók alapvető szerepet játszanak a technológiai rendszerek védelmében; az OpenAI új rendszereivel mind a jelentések minőségét, mind a hosszú távú együttműködést igyekeznek jobban ösztönözni. A magasabb alapjutalmak, a minőség- és hűségbónuszok, valamint a prioritási kampányok célja, hogy több kutatót vonzanak be és gyorsabban lehessen feltárni, reprodukálni és javítani a sebezhetőségeket.
Köszönetet mondtak mindazoknak, akik eddig jelentettek problémákat, és azt közölték: szeretnék, ha a kutatók visszatérnének hozzájuk, ha újabb hibát találnak.
