OpenAI с 2 ноября существенно увеличила вознаграждения исследователям, которые находят уязвимости в ChatGPT, Codex и API. За критическую ошибку безопасности в одном из основных продуктов компания теперь готова заплатить до $30 тысяч. За исключительную находку базовая награда может достигнуть $100 тысяч, а вместе с бонусами — почти $172 тысяч.
Для уязвимостей средней, высокой и критической серьёзности середины диапазонов выплат в среднем выросли более чем вчетверо.
В опубликованной таблице OpenAI приводит пример: исследователь обнаружил способ захватить чужой аккаунт ChatGPT одним нажатием. Базовая награда за такую критическую ошибку составляет $30 тысяч. С учётом дополнительных коэффициентов она может вырасти до $51 577.
Ещё дороже оценивается нарушение защиты, позволяющее просматривать переписки произвольных пользователей ChatGPT. Базовая награда — $100 тысяч, а с максимальными бонусами в приведённом расчёте получается $171 925.
Дополнительные выплаты теперь зависят от качества отчёта. Если исследователь предоставит воспроизводимый пример атаки, покажет условия её проведения и возможные последствия, он получит повышающий коэффициент.
Компания также ввела пятиуровневую программу лояльности для постоянных участников и специальные кампании по поиску уязвимостей в новых функциях. В такие периоды вознаграждения могут дополнительно увеличиваться.
Пересмотр затронет и уже отправленные отчёты. Если исследователь сообщил об ошибке, но награду ему пока не назначили, сумму рассчитают по новым правилам. Тем, кто получил выплаты за 30 дней до объявления, OpenAI доплатит разницу, если прежняя награда оказалась меньше положенной по новым базовым ставкам и бонусам за лояльность.
Программа Security Bug Bounty предназначена для независимых исследователей безопасности. Участники сообщают о подтверждённых уязвимостях через платформу Bugcrowd, соблюдая установленные правила проверки.
20–21 ноября представители OpenAI также примут участие в мероприятии PROMPT2PWN в Окленде, где исследователи смогут лично проверять безопасность доступных для тестирования систем.