OpenAI、Security Bug Bountyの報奨金を引き上げ、報告の質と継続的な貢献にボーナスを追加

OpenAIは、Security Bug Bountyプログラムの報奨金を引き上げ、平均すると中・高・重大度の脆弱性に対する報奨金レンジの中間値を「4倍以上」にすると発表した。

• 主要製品： ChatGPT、Codex、API Platformの重大な脆弱性には、最大30,000ドルが支払われる。これらの対象で特に優れた重大な脆弱性は、引き続き最大100,000ドルの対象となり、ボーナスを含めると最大172,000ドルとなる。
• 報告の質： 信頼性の高い概念実証など、質の高い報告には基本報奨金に倍率ボーナスが付く場合がある。
• 継続的な貢献： 新設された5段階のプログラムでは、繰り返し報告する研究者に段階的なボーナスを提供する。
• 優先キャンペーン： 新機能を対象とする短期のボーナス枠を設ける。
• 遡及支払い： まだ報奨金が支払われていない報告には新しい金額が適用され、発表前の30日間に支払われた報奨金も、新しい金額のほうが高い場合は差額が追加で支払われる。

OpenAIが挙げた例では、従来6,500ドルだったChatGPTのワンクリックアカウント乗っ取りは、報告の質、優先キャンペーン、最高ランクの継続貢献ボーナスを含めると、現在は合計51,577ドルになる。OpenAIのセキュリティチームは、11月20～21日にオークランドで開催されるPROMPT2PWNに参加する。

同日、OpenAIはセキュリティ企業Cathedral Systemsとの新たな社内セキュリティスプリントについても説明した。同社の研究者はOpenAIのチームとともにOpenAIのモデルを利用し、防御を検証するという。また、報奨金制度の変更も同じ取り組みの一環だと述べた。OpenAIは、信頼できる防御担当者に対するモデルへのアクセスも引き続き拡大するとしている。