OpenAI、脆弱性の報奨金を最大17万2000ドルに引き上げ

OpenAIは11月2日（米国時間）、脆弱性を報告する外部の専門家への報奨金を上げ、社外と組む集中対策も準備すると発表しました。

報奨金はいくらになったか

ChatGPT・Codex・API基盤の3つの中核製品で、重大な欠陥を報告した人には最大3万ドルが払われます。特別に重大な欠陥の基本額は10万ドルで、ボーナスを加えると最大で約17万2000ドルです。OpenAIは、軽いものから重大なものまでの報奨金の中間値が、平均で4倍以上になったと説明しています。

新しい金額は、まだ報奨金が決まっていない報告にも使われます。aicybrによると、発表前の30日間に払った分は、差額が上乗せされることがあります。以前の上限額は公表されていません。

17万2000ドルの計算

OpenAIが示した例では、基本額の10万ドルに3つの係数をかけます。報告の質が1.15、優先キャンペーンが1.30、実績のある報告者への割増が1.15で、合計は約17万1925ドルです。これを丸めて17万2000ドルとしています。いずれも例であり、支払いを約束するものではないとされています。

社外と組む集中対策

次の集中対策には、セキュリティ会社のCathedral Systemsが加わります。外部の研究者がOpenAIのAIモデルを使い、社内チームと一緒に守りを破る試みを行い、修正も確かめます。開始時期と期間、調べる対象は発表されていません。

前回は、製品を作る技術者の25%がこの作業にあたりました。Codex（OpenAIのコード作成AI）で報告を調べ、隔離した環境で再現し、修正案を作りました。TechcityAuthorityによると、OpenAIは参加者を250人以上、対象を100以上の領域と説明しています。

前回の反省と今後

Cyber Security Newsによると、前回は同じ内容の報告が重なって確認が遅れ、危険度の付け方もばらつきました。修正が取り込まれても、動いているすべてのシステムに届くとは限らない点も課題でした。最終判断は人が行う方針です。

OpenAIは、前回の設計図と教訓を、企業や政府の防御担当者に公開するとしています。また、セキュリティ製品「Daybreak」の利用者に最高性能のモデルを提供し、重要インフラを守る組織には、6カ月で10億ドル分の割引利用を約束しました。