OpenAI mais que quadruplica faixas de recompensa do bug bounty
A OpenAI mais que quadruplicou o ponto médio das faixas de recompensa do seu bug bounty e firmou parceria com a Cathedral Systems para testar as próprias defesas.
Pontos principais
- Falha crítica em alvos centrais, como ChatGPT, Codex ou API Platform, paga até US$ 30 mil; achados excepcionais seguem elegíveis a até US$ 100 mil.
- Com bônus somados, o teto chega a US$ 172 mil, como mostra um exemplo ilustrativo (100 mil × 1,15 × 1,30 × 1,15).
- Relatórios com prova de conceito confiável, que isolam o bug, mostram quando ele pode ser explorado e demonstram o impacto, ganham multiplicador de qualidade.
- Programa de fidelidade com bônus escalonados em 5 níveis, e campanhas prioritárias com bônus próprios para recursos recém-lançados.
- Recompensas ainda não concedidas entram nas novas faixas; as concedidas nos 30 dias anteriores ao anúncio recebem a diferença.
- A OpenAI se comprometeu com US$ 1 bilhão em acesso subsidiado por seis meses para defensores de linha de frente em serviços essenciais e infraestrutura digital.
- Na sprint interna anterior, 25% dos engenheiros de produto procuraram e corrigiram fraquezas, com o Codex investigando achados e preparando patches para revisão.
- Pesquisadores da Cathedral vão usar os modelos da OpenAI junto com as equipes internas para testar as defesas da empresa na próxima sprint de segurança.
A OpenAI mais que quadruplicou, em média, o ponto médio das faixas de recompensa para achados médios, altos e críticos, e quer achar falhas que os testes internos talvez não tenham visto. Os exemplos de cálculo são ilustrativos, diz a empresa. Em Oakland, nos Estados Unidos, a equipe de segurança estará no PROMPT2PWN em 20 e 21 de novembro.
A parceria com a Cathedral Systems integra, segundo a OpenAI, um esforço contínuo para encontrar e corrigir falhas antes dos atacantes. A empresa afirma que as defesas tradicionais, sozinhas, já não bastam.
Fontes primárias
Rewarding defenders with bigger bug bounties
A OpenAI aumenta as recompensas do Security Bug Bounty: o ponto médio das faixas para achados médios, altos e críticos mais que quadruplica. Vulnerabilidade crítica em ChatGPT, Codex ou API Platform paga até US$ 30 mil; achados críticos excepcionais seguem elegíveis a até US$ 100 mil, e até US$ 172 mil com bônus. Novidades: multiplicador de qualidade para relatórios com prova de conceito confiável, programa de fidelidade com bônus em 5 níveis e multiplicadores de campanhas prioritárias para novos recursos. Recompensas ainda não pagas recebem as novas faixas, e as pagas nos 30 dias anteriores ao anúncio recebem a diferença. Os exemplos de cálculo são descritos como ilustrativos.
Preparing our next security sprint to harden OpenAI
A OpenAI anuncia parceria com a Cathedral: pesquisadores da Cathedral vão usar os modelos da OpenAI junto com as equipes internas para testar as defesas da empresa na próxima sprint interna de segurança. O texto lembra que a sprint anterior dedicou 25% dos engenheiros de produto a encontrar e corrigir fraquezas, com o Codex investigando achados, reproduzindo vulnerabilidades em ambientes isolados e preparando patches para revisão. Também cita o compromisso de US$ 1 bilhão em acesso subsidiado por seis meses para defensores de linha de frente em serviços essenciais e infraestrutura digital, e a ampliação das recompensas do bug bounty para achados críticos. Inclui fala de Gavin Kliger, CEO e cofundador da Cathedral.
