OpenAI aumenta le ricompense del suo programma Security Bug Bounty, con premi più elevati per le vulnerabilità di gravità media, alta e critica e nuovi bonus per la qualità dei report, la partecipazione a lungo termine e campagne prioritarie selezionate. L’azienda afferma che le modifiche mirano a incoraggiare i ricercatori indipendenti a individuare vulnerabilità che potrebbero sfuggire ai test interni.
Il valore mediano degli intervalli di ricompensa per le vulnerabilità di gravità media, alta e critica aumenta in media di oltre quattro volte. Una vulnerabilità critica che interessa un prodotto fondamentale, come ChatGPT, Codex o la API Platform, può ora ricevere fino a 30.000 dollari. Le vulnerabilità critiche eccezionali su questi prodotti possono continuare a ottenere fino a 100.000 dollari prima dei bonus e arrivare a 172.000 dollari includendoli.
I ricercatori possono ricevere un moltiplicatore di qualità per i report che includono una prova di concetto affidabile, isolano il problema, spiegano come può essere sfruttato e ne dimostrano l’impatto. OpenAI introduce inoltre un programma di fedeltà a cinque livelli, con bonus per i ricercatori che collaborano con l’azienda con continuità, e campagne prioritarie di breve durata che offrono fondi dedicati ai bonus per le funzionalità appena lanciate.
Alcuni esempi illustrativi mostrano come gli incentivi possano influire sui pagamenti. Una vulnerabilità di gravità media in ChatGPT, con un premio base di 2.000 dollari, potrebbe raggiungere un totale di 2.415 dollari dopo i bonus di qualità e fedeltà. Una vulnerabilità critica eccezionale con un premio base di 100.000 dollari potrebbe arrivare a 171.925 dollari dopo l’applicazione dei moltiplicatori di qualità, campagna e fedeltà. OpenAI precisa che gli esempi e i premi storici sono illustrativi.
I nuovi intervalli di ricompensa si applicheranno anche ai report già inviati per i quali non è ancora stato assegnato un premio. Per i premi pagati nei 30 giorni precedenti all’annuncio, OpenAI afferma che verserà la differenza se la vulnerabilità avrebbe ottenuto una ricompensa maggiore secondo i nuovi intervalli, includendo i premi base e quelli di fedeltà.
Il team di sicurezza di OpenAI dovrebbe inoltre partecipare a PROMPT2PWN a Oakland il 20–21 novembre, dove i ricercatori potranno testare di persona gli obiettivi.
Fonti: OpenAI News.