OpenAI ha annunciato un aumento dei premi fino a 172.000 dollari per i ricercatori che individuano vulnerabilità in ChatGPT, Codex e altri prodotti. L’importo effettivo dipende dalla gravità del problema e da diversi incentivi aggiuntivi. Nello stesso annuncio, l’azienda californiana ha avviato una collaborazione con Cathedral Systems per individuare e correggere eventuali falle nella sicurezza delle piattaforme, comprese quelle individuate di recente nel sistema di monitoraggio dei modelli AI.
Il programma Security Bug Bounty mira a incentivare chi individua e segnala vulnerabilità software, offrendo un contributo concreto agli ingegneri dell’azienda che devono scoprire e risolvere i bug. Le somme riconosciute in passato risultavano però contenute rispetto a quelle offerte da altri operatori. A titolo di esempio, gli esperti di Parameter Labs hanno ricevuto soltanto 5.000 dollari per aver individuato una vulnerabilità che permetteva di leggere le chat private.
Con il nuovo schema, l’importo base riflette il livello di gravità della vulnerabilità, distinguendo quattro fasce: media, alta, critica ed eccezionale. Il pagamento complessivo considera poi tre categorie di bonus o moltiplicatori: la qualità della segnalazione, la fedeltà e la priorità. I ricercatori che forniscono una descrizione dettagliata del problema, seguono il programma da più tempo e segnalano vulnerabilità relative a funzionalità recenti possono quindi ottenere premi più elevati.
Un caso esemplificativo riguarda una vulnerabilità eccezionale in ChatGPT, come quella che consente di leggere i messaggi degli utenti: in precedenza il riconoscimento massimo arrivava a 100.000 dollari. Se la funzionalità interessata è recente, il moltiplicatore è 1,30; una qualità elevata del report comporta un moltiplicatore 1,15; un livello di fedeltà 31337 (eleet) completa il calcolo. In questa combinazione, la somma finale è di 171.925 dollari.
La modifica ha effetto anche sulle segnalazioni già presentate. I pagamenti sono retroattivi e includono la differenza per i report già inviati o premiati nei 30 giorni precedenti all’annuncio. Le nuove soglie vengono dunque applicate a quelle pratiche, con l’erogazione della quota aggiuntiva.
Parallelamente, OpenAI ha avviato una collaborazione con Cathedral Systems. Cathedral Systems utilizzerà i modelli di OpenAI per valutare le difese delle piattaforme, individuare debolezze e migliorare le protezioni. L’accordo prevede anche attività di ricerca sulle falle di sicurezza delle piattaforme, come quelle scoperte recentemente nel sistema di monitoraggio dei modelli AI.
