OpenAI augmente les primes de son programme de bug bounty dédié à la sécurité : les vulnérabilités critiques exceptionnelles touchant ses produits principaux peuvent désormais rapporter aux chercheurs environ 172 000 dollars après application des bonus prévus.
L’entreprise a annoncé ces montants revus à la hausse le 2 novembre, en même temps que ses projets pour un nouveau sprint de sécurité assisté par l’IA, qui réunira les chercheurs de Cathedral et les équipes internes afin de repérer et corriger les vulnérabilités.
Les résultats du précédent exercice mettent en évidence un défi pour les équipes de sécurité : découvrir plus rapidement les vulnérabilités exige toujours une validation fiable, une attribution claire des responsabilités et la vérification du déploiement des correctifs en production.
Les précédents tests de sécurité ont permis de clore 53 problèmes urgents ou hautement prioritaires
Des chercheurs de Cathedral rejoindront les équipes internes pour examiner les défenses et évaluer les correctifs. Les participants utiliseront les modèles d’OpenAI avec leur propre expertise en recherche pour étudier les faiblesses potentielles.
Lors du précédent sprint, plus de 250 personnes ont travaillé sur plus de 100 domaines de services, tandis que 25 % des ingénieurs produit se consacraient à la recherche et à la correction des vulnérabilités. OpenAI a indiqué que les équipes avaient clos 53 problèmes urgents ou hautement prioritaires dès le premier jour.
Codex a aidé les ingénieurs à examiner les failles suspectées et à les reproduire dans des environnements isolés avant de préparer des correctifs soumis à une vérification humaine. Les ingénieurs ont également élaboré des processus pour évaluer la gravité des problèmes et transmettre les signalements aux équipes responsables, prolongeant les méthodes traditionnelles de test des vulnérabilités grâce à une investigation automatisée.
OpenAI a indiqué que son processus de triage avait identifié 37 % des signalements comme des doublons, tandis que la validation à l’exécution en avait reproduit 19,5 %. Les signalements qui n’avaient pas pu être reproduits n’étaient pas nécessairement des faux positifs ; l’entreprise a également décrit des contraintes de test liées à des dépendances manquantes et à des différences de configuration. Les ingénieurs se sont appuyés sur ces expériences pour développer la Defense Factory, un processus continu reliant la découverte des vulnérabilités à leur validation et à la vérification de leur correction.
Des primes plus élevées récompensent les vulnérabilités graves et bien documentées
OpenAI augmente les montants versés dans le cadre de son programme de bug bounty dédié à la sécurité. Les primes médianes pour les signalements de gravité moyenne, élevée et critique augmentent en moyenne de plus de quatre fois.
Les failles critiques de ChatGPT et d’autres produits principaux peuvent désormais rapporter jusqu’à 30 000 dollars selon les barèmes de primes standard. Les vulnérabilités critiques exceptionnelles touchant ces produits principaux restent éligibles à des primes de base pouvant atteindre 100 000 dollars, les bonus prévus pouvant porter le montant total à environ 172 000 dollars.
Les chercheurs participant à des programmes de bug bounty peuvent également bénéficier d’incitations supplémentaires dans le cadre de la structure révisée.
- Bonus liés à la qualité des rapports. Des montants plus élevés récompensent les soumissions détaillées accompagnées d’une preuve de concept fiable, notamment d’éléments montrant dans quelles circonstances une vulnérabilité peut être exploitée et l’impact potentiel de cette exploitation.
- Récompenses de fidélité pour les chercheurs. Un programme à cinq niveaux propose des bonus croissants aux chercheurs qui contribuent régulièrement à l’identification de problèmes de sécurité.
- Incitations liées aux campagnes prioritaires. Des campagnes temporaires offrent des récompenses supplémentaires pour l’étude des fonctionnalités récemment lancées.
Les signalements en attente bénéficieront des barèmes de primes mis à jour. Pour les primes attribuées au cours des 30 jours précédant l’annonce du 2 novembre, OpenAI versera la différence si le signalement avait rapporté davantage selon la nouvelle structure des primes de base et de fidélité.
La découverte plus rapide des vulnérabilités met la remédiation sous pression
Le précédent sprint d’OpenAI a mis en évidence un défi pour les organisations qui adoptent l’analyse des vulnérabilités assistée par l’IA.
La détection automatisée peut produire des signalements plus rapidement que les équipes de sécurité ne peuvent les examiner, en particulier lorsque les rapports en doublon et les faiblesses non confirmées se disputent leur attention. Dans les grands environnements d’entreprise, le temps consacré au tri des signalements non concluants peut retarder le travail sur des vulnérabilités vérifiées qui affectent des systèmes exposés.
OpenAI a indiqué que les vérifications de suivi avaient révélé un écart entre les correctifs fusionnés et les corrections déployées sur l’ensemble de son parc, ce qui l’a poussée à renforcer la vérification. Cette expérience montre pourquoi confirmer une vulnérabilité et préparer un correctif ne constituent qu’une partie de la remédiation. Les ingénieurs sécurité peuvent identifier une vulnérabilité, mais les équipes applicatives doivent encore tester et déployer la correction. Un correctif approuvé par les développeurs peut laisser les organisations exposées si d’anciennes versions continuent de fonctionner sur des serveurs ou des conteneurs de production, créant un écart entre le travail de développement achevé et la remédiation.
Pour les responsables de la sécurité qui évaluent les tests assistés par l’IA, un indicateur plus utile est la durée pendant laquelle les vulnérabilités confirmées restent exploitables en production. Les retards au cours de l’enquête peuvent révéler des problèmes de validation des signalements, tandis que les correctifs en attente de déploiement exposent des faiblesses dans la gestion des mises en production. Le suivi de ces retards au moyen de la vérification des correctifs peut aider les organisations à déterminer si la découverte plus rapide réduit la durée pendant laquelle leurs systèmes restent vulnérables.
À lire aussi : les cyberattaques passées peuvent révéler des failles de sécurité, mais les menaces pilotées par l’IA pourraient exiger une approche différente. Découvrez comment les organisations peuvent se préparer.