OpenAI augmente les récompenses de son programme Security Bug Bounty, avec des montants plus élevés pour les vulnérabilités de gravité moyenne, élevée et critique, ainsi que de nouvelles primes récompensant la qualité des rapports, la participation à long terme et certaines campagnes prioritaires. L’entreprise indique que ces changements visent à encourager les chercheurs indépendants à repérer des vulnérabilités que ses propres tests pourraient ne pas détecter.
Le montant médian des fourchettes de récompense pour les vulnérabilités de gravité moyenne, élevée et critique augmente en moyenne de plus de quatre fois. Une vulnérabilité critique touchant un produit phare, comme ChatGPT, Codex ou l’API Platform, peut désormais rapporter jusqu’à 30 000 $. Les vulnérabilités critiques exceptionnelles concernant ces produits peuvent toujours être récompensées jusqu’à 100 000 $ avant les primes, et atteindre 172 000 $ avec celles-ci.
Les chercheurs peuvent obtenir un multiplicateur de qualité pour les rapports qui comprennent une preuve de concept fiable, isolent le problème, expliquent comment l’exploiter et en démontrent l’impact. OpenAI instaure également un programme de fidélité à cinq niveaux, avec des primes pour les chercheurs qui collaborent régulièrement avec l’entreprise, ainsi que des campagnes prioritaires de courte durée proposant des enveloppes de primes réservées aux fonctionnalités récemment lancées.
Des exemples indicatifs montrent comment ces incitations peuvent modifier les montants versés. Une vulnérabilité de gravité moyenne dans ChatGPT assortie d’une récompense de base de 2 000 $ pourrait rapporter au total 2 415 $ après les primes de qualité et de fidélité. Une vulnérabilité critique exceptionnelle assortie d’une récompense de base de 100 000 $ pourrait atteindre 171 925 $ après les multiplicateurs de qualité, de campagne et de fidélité. OpenAI précise que ces exemples et les récompenses passées sont fournis à titre indicatif.
Les nouvelles fourchettes de récompense s’appliqueront aux rapports déjà soumis si aucune prime n’a encore été attribuée. Pour les primes versées au cours des 30 jours précédant l’annonce, OpenAI indique qu’elle versera la différence si la vulnérabilité aurait rapporté davantage selon les nouvelles fourchettes, y compris les récompenses de base et de fidélité.
L’équipe de sécurité d’OpenAI doit également participer à PROMPT2PWN à Oakland les 20 et 21 novembre, où les chercheurs pourront tester des cibles en personne.
Sources: OpenAI News.