OpenAI подготвя нов вътрешен спринт по сигурността, който ще обедини външни изследователи със собствените ѝ екипи, за да откриват уязвимости, да тестват решения за отстраняването им и да укрепват нейните платформи с помощта на изкуствен интелект.

Обявената на 2 ноември инициатива включва партньорство с Cathedral Systems и по-високи награди по програмата за откриване на бъгове (bug bounty), за да насърчи независимите изследователи да докладват за сериозни пропуски в сигурността.

Съобщението за спринта по сигурността описва по-широк стремеж към непрекъсната защита, при която откриването на слабости и проверката на поправките се превръщат в постоянна дейност, а не в еднократна оценка.

Изследователите от Cathedral ще използват моделите на OpenAI съвместно със служителите на компанията, за да подложат на изпитание съществуващите защити и да внесат свежи подходи при тестването на нейните системи.

Партньорството с Cathedral разширява тестването на сигурността

Гавин Клигер, главен изпълнителен директор и съосновател на Cathedral Systems, заяви, че сътрудничеството ще комбинира изследванията на неговия екип с моделите на OpenAI и експертния опит в областта на сигурността, за да се откриват слабости, да се тестват решения и да се подобри непрекъснатата защита. Съобщението очертава планираното сътрудничество, но не посочва начална дата, списък с цели или открити уязвимости от предстоящия спринт.

Инициативата надгражда предишен спринт, в който OpenAI насочи 25% от своите продуктови инженери към работа по сигурността. Инженерите използваха Codex, за да разследват доклади, да възпроизвеждат уязвимости в изолирани среди и да подготвят корекции за сигурност за преглед. Този подход свързва подпомаганото от изкуствен интелект откриване на уязвимости с практически проверки, преди предложените промени да достигнат до продукционните системи.

Публикуваната от OpenAI архитектура Defense Factory обяснява как работи този процес. Агентите картографират системите, разследват възможни пропуски, потвърждават дали проблемите могат да бъдат възпроизведени, идентифицират отговорните екипи и подготвят тествани корекции. Изолираните среди предоставят кода, услугите и настройките, необходими за тестване на предполагаема уязвимост, без да се провеждат експерименти директно върху активно работещи системи.

Компанията описва и поуките от ранното тестване. Дублиращите се констатации са забавяли прегледа, оценките за сериозност са се нуждаели от по-ясни инструкции, а липсващите зависимости са затруднявали изпълнението на някои тестове. От OpenAI споделят, че последващите проверки са разкрили друг важен пропуск: интегрираната корекция за сигурност невинаги е означавала, че поправката е достигнала до всяка внедрена система. Ето защо човешкият преглед и независимите проверки остават част от работния процес.

Това надгражда възможностите, разгледани в репортажа на Cybersecurity News относно OpenAI Codex Security, който проучи ролята на агента при откриването, валидирането и отстраняването на софтуерни уязвимости. Новият спринт прилага този подпомаган от модели подход към собствените защити на OpenAI с допълнителна подкрепа от външни изследователи.

По-високи награди за откриване на уязвимости

Наред със спринта, OpenAI увеличи наградите по своята програма Security Bug Bounty. Критичните уязвимости в основни продукти, включително ChatGPT, Codex и API Platform, вече могат да донесат до $30,000.

Изключителните критични находки остават допустими за базова награда от $100,000, като с бонусите потенциалните изплащания могат да достигнат около $172,000. Качеството на доклада, лоялността на изследователя и приоритетните кампании влияят върху крайната сума.

Тези промени разширяват програмата, обхваната по-рано при увеличението на наградите за бъгове на OpenAI до $100,000. Изследователите трябва да правят разлика между стандартните награди за критични уязвимости и изключителните възнаграждения, вместо да приемат най-високото обявено плащане за стандартно.

OpenAI също така свързва тази работа с Daybreak for Frontline Defenders – своя ангажимент на стойност $1 милиард за субсидиран достъп, обучение, поддръжка и партньорства в рамките на шест месеца. Инициативата е насочена към основни услуги и организации с ограничени ресурси за сигурност.

Обявената ѝ цел отразява вътрешния спринт: да помогне на защитниците да превърнат потвърдените слабости в тествани корекции за сигурност, като същевременно запази отговорността на хората за вземането на важните решения.