OpenAI refuerza su seguridad con mayores recompensas y un nuevo sprint interno
OpenAI anunció dos iniciativas complementarias para fortalecer la seguridad de sus productos y apoyar a la comunidad de investigadores que ayuda a protegerlos. Por un lado, incrementó de manera significativa las recompensas de su programa de bug bounty. Por otro, prepara un nuevo sprint interno de seguridad en colaboración con Cathedral Systems.
Ambas medidas forman parte de una estrategia más amplia para identificar debilidades antes de que puedan ser explotadas y para reconocer con mayor precisión el trabajo de quienes las reportan.
Recompensas más altas para quienes encuentran vulnerabilidades
OpenAI sube las recompensas de su Security Bug Bounty y más que cuadruplica el punto medio de los rangos para hallazgos medios, altos y críticos en promedio. Un hallazgo crítico en un producto central como ChatGPT, Codex o API Platform ahora puede alcanzar hasta 30.000 USD. Los hallazgos críticos excepcionales pueden llegar hasta 100.000 USD, y hasta 172.000 USD cuando se aplican bonificaciones adicionales.
Calidad del informe y fidelidad: así se calculan los nuevos pagos
Además de elevar los rangos base, OpenAI introduce nuevos multiplicadores por calidad del informe. Para obtenerlos, el reporte debe incluir una prueba de concepto fiable que aísle el bug, muestre cuándo se puede explotar y demuestre su impacto. También se crea un programa de fidelidad de 5 niveles, que reconoce la trayectoria de los investigadores dentro del programa. A esto se suman campañas prioritarias con fondos dedicados para funciones nuevas.
| Severidad | Producto | Pago ilustrativo |
|---|---|---|
| Medio | ChatGPT | 2.415 USD (2.000 x 1,15 calidad x 1,05 Bronze) |
| Alto | Prism | 3.162,50 USD (2.500 x 1,15 calidad x 1,10 Gold) |
| Crítico | ChatGPT | 51.577 USD (30.000 x 1,15 calidad x 1,30 campaña prioritaria x 1,15 nivel 31337) |
| Excepcional | ChatGPT | 171.925 USD (100.000 x 1,15 calidad x 1,30 campaña prioritaria x 1,15 nivel 31337) |
Todos los ejemplos son ilustrativos, según publica OpenAI.
Pagos retroactivos y presencia en PROMPT2PWN
Los cambios también se aplican de forma retroactiva. Los informes sin adjudicar usarán los nuevos rangos, mientras que los adjudicados en los 30 días previos recibirán una compensación por la diferencia. OpenAI también estará presente con su equipo en PROMPT2PWN en Oakland, los días 20 y 21 de noviembre.
Un nuevo sprint interno con Cathedral Systems
En paralelo, OpenAI prepara su próximo sprint interno de seguridad junto a Cathedral Systems. Los investigadores de Cathedral Systems usarán modelos de OpenAI junto a los equipos internos para desafiar las defensas de la compañía. En el sprint anterior, OpenAI dedicó el 25% de sus ingenieros de producto a buscar y corregir debilidades. Durante ese trabajo, utilizaron Codex para investigar, reproducir vulnerabilidades en entornos aislados y preparar parches.
Apoyo a defensores de primera línea
Como parte de su compromiso con la seguridad, OpenAI anunció un compromiso de 1.000 millones USD en acceso subvencionado durante seis meses para defensores de primera línea, a través de Daybreak. Además, la compañía planea compartir arquitectura, lecciones y un blueprint para defensores.
OpenAI en contexto
OpenAI desarrolla productos centrales como ChatGPT, Codex y API Platform, que concentran los hallazgos críticos de mayor valor en su programa de recompensas. La compañía también impulsa Daybreak, su iniciativa para defensores de primera línea, y trabaja con Cathedral Systems en sprints internos para desafiar sus defensas.
