OpenAI、重大な脆弱性への最高報奨金を17万2,000ドルに引き上げ

OpenAIは、Cathedral Systemsの研究者と次の社内セキュリティスプリントを計画している。両社のチームがOpenAIのモデルを使い、弱点の発見、脆弱性の再現、修正案の準備を進める。重大な発見への報奨金は4倍超となり、特に優れた報告にはボーナス込みで最大17万2,000ドルを支払う。

外部研究者がOpenAIのモデルをOpenAIのシステムに向ける

Cathedralは独自の手法を持ち込み、社内チームとともに防御を試す。前回のスプリントには製品エンジニアの25 %が参加し、Codexが報告の調査、隔離環境での再現、レビュー用パッチの準備を支援した。

同社は最も強力なサイバー能力をDaybreakの顧客にも提供する。重要サービスとデジタル基盤を守る組織に対し、6カ月で10億ドル分の利用支援を約束している。

セキュリティ対策が定期監査から継続的な防御サイクルへ移る

狙いは発見から修正までの時間を短くすることだ。モデルは多くのコードを確認し、再現を助けられる。ただし影響を評価し、パッチを承認するのは人だ。外部チームは、社内開発者が共有する盲点も突ける。

高い報奨金はモデル性能と同じくらい重要だ。正当な研究者に十分な対価と明確な報告窓口を用意すれば、重大情報が攻撃者より先に防御側へ届く可能性が高まる。

開始日も成功を測る基準も公表されていない

OpenAIは開始時期、期間、対象システム、修正時間の目標を示していない。前回見つけた脆弱性の数や、モデルなしでは見逃した件数も不明だ。より良い仕組みと、大量の人員と計算資源を集めた効果を切り分けにくい。

モデルは攻撃側も速め得る。信頼する防御者に限定したアクセスや隔離環境は悪用リスクを下げるが、手法の流出やtriageを圧迫する誤検知までは消せない。

報告から修正までの時間がスプリントの価値を示す

確認済みの重大脆弱性、誤検知率、修正時間の中央値、パッチによる新たな不具合を追うべきだ。OpenAIが手法と教訓を公開し、自社外の防御者も使えるようにするかも重要になる。

17万2,000ドルの報奨金は注目を集める。信頼を生むのは、予測可能な報告処理、迅速な修正、善意で防御を試す研究者への明確な規則だ。

Lilithの判定

OpenAIは研究者に自社モデルを自社システムへ向けさせ、17万2,000ドルを置いた。次に示すべきは、プレスリリースより先に修理班が現場へ着くことだ。