OpenAIはセキュリティバグ報奨金を引き上げており、主要製品に存在する特に重大な脆弱性については、条件を満たすボーナスを含め、研究者が約17万2,000ドルを獲得できる可能性がある。
同社は11月2日、報奨金の増額を発表するとともに、AIを活用した次回のセキュリティスプリントの計画も明らかにした。このスプリントでは、Cathedralの研究者が社内チームと協力して脆弱性を発見・修正する。
前回の取り組みの結果は、セキュリティチームが抱える課題を浮き彫りにした。脆弱性の発見を迅速化しても、信頼性の高い検証、明確な責任分担、そして修正が本番環境に適用されたことの確認が必要になる。
これまでのセキュリティテストで緊急または高優先度の問題53件を解決
Cathedralの研究者は社内チームに加わり、防御を調査し、修正を評価する。参加者はOpenAIのモデルと自身の研究に関する専門知識を用いて、潜在的な弱点を調査する。
前回のスプリントでは、250人を超える参加者が100を超えるサービス領域にまたがって作業し、製品エンジニアの25%が脆弱性の発見と修正に専念した。OpenAIによると、チームは初日に 緊急または高優先度の問題53件を解決した。
Codexは、エンジニアが疑わしい欠陥を調査し、人間によるレビューに向けてパッチを準備する前に、隔離環境で再現する作業を支援した。エンジニアはまた、深刻度を評価し、発見事項を担当チームに振り分けるプロセスも構築し、従来の 脆弱性テストを自動調査で拡張した。
OpenAIによると、トリアージプロセスでは発見事項の37%が重複と判定され、ランタイム検証では19.5%が再現された。再現しなかった発見事項が必ずしも誤検知だったわけではない。同社は、依存関係の欠落や設定の違いに伴うテスト上の制約についても説明した。エンジニアはこうした経験をもとに、脆弱性の発見と検証、検証済みの修復をつなぐ継続的なプロセス「Defense Factory」を開発した。
より高い報奨金で、深刻かつ詳細に記録された脆弱性に報いる
OpenAIは、自社のSecurity Bug Bountyプログラムにおける支払額を引き上げる。中、高、重大の深刻度に分類される発見事項の報奨金中央値は、平均で4倍以上に増額される。
ChatGPTやその他の主要製品における重大な欠陥には、標準的な報奨金額の範囲で最大3万ドルが支払われるようになった。これら主要製品の特に重大な脆弱性については、最大10万ドルの基本報奨金の対象となるほか、条件を満たすボーナスにより、支払額が約17万2,000ドルに達する可能性がある。
研究者はバグ報奨金プログラムに参加することで、改定された仕組みの下で追加のインセンティブも得られる。
- 報告品質ボーナス。信頼性の高い概念実証を含む詳細な報告に対して、より高い報奨金が支払われる。脆弱性が悪用可能になる条件や、想定される影響を示す証拠などが対象となる。
- 研究者ロイヤルティー報奨。5段階のプログラムにより、セキュリティ上の発見事項を継続的に提供する研究者に、段階的に増額されるボーナスを提供する。
- 優先キャンペーンのインセンティブ。期間限定のキャンペーンでは、新たにリリースされた機能の調査に対して追加の報奨金を提供する。
保留中の提出物にも、更新後の報奨金額が適用される。11月2日の発表前30日間に支払われた報奨金については、更新後の基本報奨およびロイヤルティー報奨の仕組みでより多く受け取れたはずの発見事項であれば、差額をOpenAIが支払う。
脆弱性の発見迅速化が修正対応に圧力をかける
OpenAIが以前実施したスプリントは、AIを活用した脆弱性スキャン。
自動検出では、セキュリティチームが調査できる速度を上回るペースで発見事項が生成される可能性がある。重複報告や未確認の弱点が注目を奪い合う場合は特にそうだ。大規模な企業環境では、結論の出ない報告の整理に時間を取られることで、外部に露出したシステムに影響する検証済みの脆弱性への対応が遅れる可能性がある。
OpenAIによると、フォローアップの確認で、統合済みのパッチと全システムに展開された修正との間に隔たりがあることが判明し、検証の拡大につながった。この経験は、脆弱性の確認とパッチの準備が修正対応の一部にすぎない理由を示している。セキュリティエンジニアが脆弱性を特定しても、アプリケーションチームは修正をテストして展開する必要がある。開発者が承認したパッチでも、古いバージョンが本番サーバーやコンテナで稼働し続けていれば、組織は脆弱な状態に置かれる可能性があり、開発作業の完了と実際の 修正対応との間に隔たりが生じる。
AIを活用したテストを評価するセキュリティ責任者にとって、より有用な指標は、確認済みの脆弱性が本番環境で悪用可能な状態にとどまる期間である。調査中の遅延は発見事項の検証に問題があることを示し、展開を待つ修正はリリース管理の弱点を露呈させる。こうした遅延を パッチ検証を通じて追跡すれば、発見の迅速化によってシステムが脆弱な状態にある期間を短縮できているかどうかを組織が判断しやすくなる。
関連記事：過去のサイバー攻撃はセキュリティの弱点を明らかにする可能性があるが、AIを活用した脅威には別のアプローチが必要になる。組織が備える方法を学ぶ。