OpenAI povećava nagrade za prijavu bezbednosnih propusta

OpenAI je povećao nagrade u programu Security Bug Bounty za prijave ranjivosti u svojim proizvodima. Kritični propust u ključnim sistemima kao što su ChatGPT, Codex i API Platform sada donosi do 30.000 dolara, dok izuzetni kritični nalazi uz bonuse mogu dostići 172.000 dolara. Organizacija navodi da je prosečna srednja vrednost raspona nagrada za nalaze srednjeg, visokog i kritičnog nivoa povećana više od četiri puta.

Veće nagrade za ozbiljne nalaze

Osnovna nagrada za izuzetan kritični nalaz na ključnim metama ostaje do 100.000 dolara. Takav nalaz podrazumeva značajno narušavanje bezbednosne granice, kao što je mogućnost uvida u poruke proizvoljnih korisnika ChatGPT-a. Novi bonusi mogu taj iznos podići do 171.925 dolara u ilustrativnom primeru obračuna.

OpenAI naglašava ulogu nezavisnih bezbednosnih istraživača u odgovornom otkrivanju propusta. Program dopunjuje rad inicijative Defense Factory, u kojoj inženjeri koriste modele za pronalaženje slabosti, reprodukciju problema i proveru ispravki.

Kako se obračunavaju bonusi

Novi model uvodi množilac za kvalitet prijave. Pouzdan dokaz koncepta treba da izdvoji grešku, pokaže okolnosti pod kojima se može iskoristiti i prikaže njen uticaj. Time se dodatno vrednuje rad koji timu za bezbednost olakšava razumevanje i otklanjanje problema.

Uveden je i program lojalnosti sa pet nivoa. Istraživači koji kontinuirano sarađuju sa OpenAI mogu ostvariti rastuće bonuse, a najviši prikazani nivo nosi naziv 31337. Pored toga, kratkoročne prioritetne kampanje za novoobjavljene funkcije imaće posebne fondove bonusa.

Primeri novih isplata

• Prijava propusta srednjeg nivoa u ChatGPT-u, uz bonus kvaliteta od 15% i bronzani bonus lojalnosti od 5%, u primeru raste sa 750 na 2.415 dolara.
• Visokorizični IDOR propust u proizvodu Prism, uz kvalitet i zlatni nivo lojalnosti, u primeru donosi 3.162,50 dolara umesto istorijskih 1.000 dolara.
• Kritično preuzimanje naloga jednim klikom u ChatGPT-u, uz bonuse kvaliteta, prioritetne kampanje i lojalnosti, prikazano je sa isplatom od 51.577 dolara.

Primena na postojeće prijave

Novi rasponi primenjuju se na prijave za koje nagrada još nije dodeljena. Za nagrade isplaćene tokom 30 dana pre objave, OpenAI će isplatiti razliku ako bi nalaz prema novim pravilima ostvario veći iznos kroz osnovnu nagradu i bonus lojalnosti.

Bezbednosni tim će 20. i 21. novembra učestvovati na događaju PROMPT2PWN u Oaklandu, gde će istraživači moći da testiraju mete uživo. Za poslovne timove poruka je jasna: dobro strukturisan program odgovornog prijavljivanja, sa preciznim kriterijumima i priznatim kvalitetom rada, može ojačati saradnju sa istraživačkom zajednicom i ubrzati saniranje propusta.