OpenAI объявила о повышении выплат внешним исследователям, которые находят уязвимости в её продуктах. За критические проблемы в ChatGPT или Codex теперь можно получить до $30 000, а за исключительные находки — до $100 000. С учётом бонусов общая награда может достигать примерно $172 000. Это верхняя планка при дополнительных условиях, а не выплата за любую ошибку.
Из чего складывается максимальная награда
Речь о программе вознаграждений за найденные уязвимости: компания платит сторонним специалистам за сообщения о проблемах безопасности. Обычный неверный ответ нейросети и уязвимость, за которую предусмотрена награда, — не одно и то же.
В обновлённых условиях нужно различать три суммы. До $30 000 предусмотрено за критические уязвимости в основных продуктах, таких как ChatGPT и Codex. До $100 000 — за исключительные находки. Примерно $172 000 — возможный итог с надбавками за качество, лояльность и участие в специальных кампаниях. Эти суммы нельзя читать как три гарантированных тарифа для любого сообщения.
Бонусы и доплата за недавние сообщения
OpenAI добавляет пятиуровневую программу лояльности и ограниченные по времени кампании с повышенными выплатами, приуроченные к запуску новых функций. Поэтому итоговая награда зависит не только от самой находки, но и от применимых условий бонусов.
По объявлению компании, исследователи, сообщившие об уязвимости за последние 30 дней, получат разницу между прежними и новыми ставками задним числом. Это отдельное условие пересчёта недавних сообщений, а не обещание максимальных $172 000 всем таким участникам.
Внутреннюю проверку проведут вместе с Cathedral
Одновременно OpenAI готовит интенсивную проверку безопасности: специалисты компании Cathedral будут вместе с инженерами OpenAI искать слабые места в её системах. Проверка пока описана как предстоящая, а не завершённая.
По данным самой OpenAI, во время предыдущей такой проверки поиском уязвимостей занимались 25% её продуктовых инженеров. Эта доля относится к прошлой проверке: переносить её на будущую команду или на всех сотрудников компании нельзя.
Что важно не перепутать
Для исследователей новость означает новые условия вознаграждений и пересчёт недавних сообщений. Для пользователей ChatGPT и Codex это сообщение о работе над безопасностью, но не доказательство того, что все уязвимости уже устранены. Размер награды сам по себе не измеряет защищённость продукта.
Есть и другая сторона подобных программ — обработка поступающих сообщений. О ней рассказывает отдельный материал о том, как сообщение о серьёзной уязвимости macOS затерялось среди AI-отчётов. Это другой случай, не установленная причина изменений в OpenAI.
