OpenAI está aumentando las recompensas de su programa Security Bug Bounty, con pagos más elevados por hallazgos de gravedad media, alta y crítica, además de nuevas bonificaciones por la calidad de los informes, la participación a largo plazo y determinadas campañas prioritarias. La empresa afirma que los cambios buscan animar a investigadores independientes a identificar vulnerabilidades que sus propias pruebas podrían no detectar.
El punto medio de los rangos de recompensas para hallazgos de gravedad media, alta y crítica aumentará, en promedio, más de cuatro veces. Una vulnerabilidad crítica que afecte a un producto principal, como ChatGPT, Codex o API Platform, ahora puede recibir hasta 30.000 dólares. Los hallazgos críticos excepcionales en esos productos seguirán pudiendo optar a hasta 100.000 dólares antes de las bonificaciones, y podrían llegar a 172.000 dólares al incluirlas.
Los investigadores pueden recibir un multiplicador por calidad si sus informes incluyen una prueba de concepto fiable, aíslan el problema, explican cómo puede explotarse y demuestran su impacto. OpenAI también está introduciendo un programa de fidelidad de cinco niveles, con bonificaciones para los investigadores que colaboren con la empresa de forma constante, y campañas prioritarias de corta duración que ofrecen fondos de bonificación específicos para funciones recién lanzadas.
Algunos ejemplos ilustrativos muestran cómo los incentivos pueden afectar los pagos. Un hallazgo de gravedad media en ChatGPT, con una recompensa base de 2.000 dólares, podría sumar 2.415 dólares tras las bonificaciones por calidad y fidelidad. Un hallazgo crítico excepcional con una recompensa base de 100.000 dólares podría llegar a 171.925 dólares tras aplicar los multiplicadores por calidad, campaña y fidelidad. OpenAI señala que los ejemplos y las recompensas históricas son ilustrativos.
Los nuevos rangos de recompensas se aplicarán a los informes ya presentados si todavía no se ha otorgado una recompensa. En el caso de las recompensas pagadas durante los 30 días anteriores al anuncio, OpenAI afirma que abonará la diferencia si el hallazgo hubiera obtenido una cantidad mayor con los nuevos rangos, incluidas las recompensas base y por fidelidad.
Está previsto que el equipo de seguridad de OpenAI también asista a PROMPT2PWN en Oakland los días 20 y 21 de noviembre, donde los investigadores podrán probar objetivos en persona.
Fuentes: OpenAI News.