OpenAI erhöht die Prämien in seinem Security-Bug-Bounty-Programm. Für mittelschwere, schwerwiegende und kritische Funde gibt es höhere Auszahlungen sowie neue Boni für die Qualität der Berichte, die langfristige Teilnahme und ausgewählte Prioritätskampagnen. Das Unternehmen erklärt, dass die Änderungen unabhängige Forschende dazu ermutigen sollen, Schwachstellen aufzuspüren, die bei den eigenen Tests möglicherweise unentdeckt bleiben.
Der Mittelwert der Prämienspannen für mittelschwere, schwerwiegende und kritische Funde steigt im Durchschnitt um mehr als das Vierfache. Für eine kritische Schwachstelle in einem Kernprodukt wie ChatGPT, Codex oder der API Platform gibt es nun bis zu 30.000 US-Dollar. Außergewöhnliche kritische Funde in diesen Produkten können weiterhin vor Boni mit bis zu 100.000 US-Dollar prämiert werden und mit Boni bis zu 172.000 US-Dollar erreichen.
Forschende können einen Qualitätsmultiplikator erhalten, wenn ihre Berichte einen zuverlässigen Proof of Concept enthalten, das Problem isolieren, erklären, wie es ausgenutzt werden kann, und seine Auswirkungen belegen. OpenAI führt außerdem ein Treueprogramm mit fünf Stufen ein, das Boni für Forschende vorsieht, die regelmäßig mit dem Unternehmen zusammenarbeiten. Hinzu kommen kurzfristige Prioritätskampagnen mit eigenen Bonusbudgets für neu eingeführte Funktionen.
Veranschaulichende Beispiele zeigen, wie sich die Anreize auf die Auszahlungen auswirken können. Ein mittelschwerer Fund in ChatGPT mit einer Basisprämie von 2.000 US-Dollar könnte nach Qualitäts- und Treueboni insgesamt 2.415 US-Dollar einbringen. Ein außergewöhnlicher kritischer Fund mit einer Basisprämie von 100.000 US-Dollar könnte nach Qualitäts-, Kampagnen- und Treuemultiplikatoren 171.925 US-Dollar erreichen. OpenAI weist darauf hin, dass die Beispiele und historischen Prämien der Veranschaulichung dienen.
Die neuen Prämienspannen gelten auch für bereits eingereichte Berichte, sofern noch keine Prämie ausgezahlt wurde. Für Prämien, die in den 30 Tagen vor der Ankündigung ausgezahlt wurden, will OpenAI nach eigener Aussage die Differenz nachzahlen, falls der Fund nach den neuen Spannen höher prämiert worden wäre – einschließlich Basis- und Treueprämien.
Das Sicherheitsteam von OpenAI soll außerdem am 20.–21. November an der PROMPT2PWN-Veranstaltung in Oakland teilnehmen. Dort können Forschende Ziele vor Ort testen.
Quellen: OpenAI News.