OpenAI повысила максимальную выплату за уязвимости до $172 тыс.
OpenAI обновила программу Security Bug Bounty и повысила вознаграждения независимым исследователям безопасности. За критическую уязвимость в ключевых продуктах компании — ChatGPT, Codex или API Platform — теперь предусмотрено до $30 тыс. базовой выплаты, а для исключительных находок с бонусами сумма может достигать $172 тыс.
Компания заявила, что в среднем более чем в четыре раза увеличила середину диапазонов выплат за находки среднего, высокого и критического уровня. Изменения должны стимулировать исследователей искать ошибки в ПО OpenAI, которые не обнаружили внутренние проверки.
Бонусы за полезные отчёты и постоянное участие
Новая схема добавляет множитель за качество отчёта. OpenAI будет учитывать надёжный proof of concept: он должен изолировать ошибку, показывать условия эксплуатации и демонстрировать последствия. Такой материал помогает команде быстрее воспроизвести проблему и проверить исправление.
Также запускается пятиуровневая программа лояльности для исследователей, которые регулярно участвуют в защите продуктов компании. Ещё один механизм — краткосрочные приоритетные кампании для недавно запущенных функций: для них будут выделяться отдельные бонусные фонды.
Как меняются расчёты выплат
В примерах OpenAI показала, что уязвимость среднего уровня в ChatGPT, позволявшая участнику проекта загружать файлы без права записи, могла раньше принести $750. По новой схеме базовая награда $2 тыс. с 15-процентным бонусом за качество и 5-процентной надбавкой бронзового уровня составляет $2 415.
Для критического сценария с захватом аккаунта одним кликом в ChatGPT приведён расчёт в $51 577: $30 тыс. базовой награды умножаются на коэффициенты качества, приоритетной кампании и уровня лояльности 31337. Исключительная критическая находка, например нарушение границы безопасности с доступом к сообщениям произвольных пользователей ChatGPT, может получить $171 925. Компания подчёркивает, что исторические выплаты и сценарии в таблице приведены как иллюстрации.
Пересчёт недавних находок
Новые диапазоны применят к отчётам, за которые вознаграждение ещё не назначено. Если выплата была произведена в течение 30 дней до объявления и по новым правилам она оказалась бы выше, OpenAI доплатит разницу с учётом базовой награды и бонуса лояльности.
20–21 ноября команда безопасности OpenAI будет работать на мероприятии PROMPT2PWN в Окленде, где исследователи смогут тестировать цели очно. Для бизнеса этот пример показывает ценность прозрачной программы ответственного раскрытия: качественно описанные находки и предсказуемые правила вознаграждения помогают быстрее получать проверяемые сигналы о рисках.