OpenAIは、自社製品のセキュリティ上の穴を見つけた外部の研究者に支払う金額を引き上げました。これは金額と同じくらい意図を物語る動きです。報奨の引き上げは、本当に自社のソフトウェアを探ってほしいと企業が示せる最も明確な合図であり、OpenAIは中・高・重大の発見に対する報奨額の中央値を平均で4倍超にしました。
主な数字を並べておく価値があります。当サイトでいずれもレビューしているChatGPT、Codex、API Platformといった中核製品の重大な脆弱性は、今や最大3万ドルを支払います。例外的に優れた重大な発見は最大10万ドルの基本額の対象のままですが、新しい加算の倍率が傑出した報告をそれよりはるかに引き上げられます。OpenAI自身の例では、ゼロクリックのアカウント乗っ取りは5万1577ドルに達し、任意の利用者のチャットメッセージを読めるようにする攻撃は、品質、優先、忠誠の加算が10万ドルの基本額に積み上がると17万1925ドルに達します。
これらの加算は、注意して読むべき部分です。品質の倍率は、バグを切り分けてその影響を示す信頼できる概念実証を含む報告に報いるもので、防御側のチームの時間を節約します。5段階の忠誠プログラムは、繰り返し参加する研究者により多く支払い、短期の優先キャンペーンは、新たに公開された機能に追加の資金を置き、OpenAIが最も目を向けてほしい所に注意を引きます。この仕組みは、報告の数だけでなく質を高めますが、目を引く数字が定額ではなく条件の積み重ねであることも意味します。
ある細部は、本当に公 正な配慮です。OpenAIは、新しくより高い範囲を、すでに提出されながらまだ報奨されていない報告に遡及して適用し、発表前の30日間に報奨した案件についても、新しい範囲でより多く得られたはずなら差額を支払うとしています。これは最近の貢献者も将来の貢献者と同じように扱うもので、どのプログラムもわざわざ行うわけではありません。
注意点は計算にあります。最高額は複数の倍率が同時に当てはまることに依存するため、研究者は17万2000ドルという見出しが自分の発見に当てはまると考える前に、Bugcrowdのページで各段階を読むべきです。今や数百万の人が頼る製品への外部の検証を増やしたいとき、報奨の引き上げは正しいてこですが、本当の試金石は、高い料率が実際にこの先1年でより多くより良い報告をもたらすかどうかであり、それは脆弱性のデータだけが示すものです。