OpenAI、セキュリティ報奨金を大幅増額。重大な脆弱性は最大3万ドル、新ボーナスも導入

OpenAIはSecurity Bug Bountyプログラムの報奨金を引き上げ、質の高い報告へのボーナスも追加しました。中・高・重大の各報奨金レンジの中央値を、平均で4倍超にするとしています。

詳細

新しい上限: ChatGPT、Codex、API Platformなどの中核製品の重大な脆弱性は最大3万ドル。例外的に重大なものは従来どおり最大10万ドルで、ボーナス込みでは最大17万2,000ドルになります。
品質ボーナス: バグを切り分けた再現可能な概念実証(PoC)があり、悪用できる条件と影響を示した報告には、基本報奨金に倍率ボーナスが付きます。
継続ボーナス: 継続して報告する研究者向けに、5段階の新しいロイヤルティ制度を導入します。
優先キャンペーン: 新機能を対象に、専用のボーナス枠を設けた短期キャンペーンを実施します。
計算例(例示): ChatGPTの中程度のバグは従来約750ドルでしたが、2,000ドル×1.15×1.05で2,415ドルに。ワンクリックのアカウント乗っ取りは従来6,500ドルでしたが、30,000ドル×1.15×1.30×1.15で5万1,577ドルになります。
遡及支払い: 未決済の報告には新レンジを適用。発表前30日間に支払い済みの報奨金も、新レンジのほうが高ければ差額を支払います。
イベント: 11月20~21日にオークランドで開かれるPROMPT2PWNにセキュリティチームが参加します。
未公開: 各ロイヤルティ段階の倍率の全体像は記事に載っておらず、詳細はBugcrowdのプログラムページにあります。

OpenAIは、自社のモデルで弱点を見つけて再現・修正するDefense Factoryの取り組みを、報奨金制度が補完するものと位置づけています。