OpenAI מהדקת את האבטחה: ספרינט פנימי עם Cathedral Systems וגמולים גבוהים יותר לחוקרים

OpenAI פרסמה שתי הודעות שעוסקות באבטחת המערכות שלה. בראשונה היא מודיעה שהיא מכינה את ספרינט האבטחה הפנימי הבא שלה, יחד עם חברת Cathedral Systems. מטרת הספרינט היא לבדוק את ההגנות של החברה ולחזק אותן באמצעות AI. בשנייה היא מודיעה שהיא מעלה את הגמולים בתוכנית באגי האבטחה שלה (Security Bug Bounty) ומוסיפה כמה סוגים של בונוסים לחוקרי אבטחה עצמאיים.

ספרינט אבטחה בעזרת AI

ספרינט אבטחה הוא תקופה קצרה ומרוכזת שבה צוות מתמקד במשימה אחת: לחפש חולשות ולתקן אותן. לפי ההודעה, זה ספרינט פנימי, הוא ייעשה יחד עם Cathedral Systems והבדיקות ייעשו באמצעות AI. בתקציר ההודעה אין פירוט של לוח הזמנים, של היקף הבדיקות ושל התפקיד המדויק של Cathedral Systems.

המילה "הבא" בהודעה מרמזת שלא מדובר בספרינט הראשון, ושאצל OpenAI זה כנראה תהליך שחוזר על עצמו. השימוש ב-AI לבדיקת הגנות משתלב במגמה רחבה בתעשייה: מודלי שפה (LLM) משמשים יותר ויותר לאיתור חולשות בקוד ובתשתיות, ומשמשים גם את הצד התוקף וגם את הצד המגן. המשמעות ככל הנראה היא ש-OpenAI מנסה להפעיל על עצמה את אותם כלים שהיא מפתחת, לפני שמישהו אחר יעשה זאת.

גמולים גבוהים יותר, ובונוסים חדשים

תוכנית bug bounty מאפשרת לחוקרים מחוץ לחברה לדווח על פרצות אבטחה שמצאו ולקבל תמורתן תגמול כספי. כך החברה מקבלת עוד עיניים שבודקות את המערכות שלה, והחוקרים מקבלים סיבה לדווח לה ולא לנצל את הפרצה או למכור אותה.

לפי ההודעה, OpenAI מעלה את הגמולים בתוכנית ומוסיפה שלושה סוגי בונוסים:

• בונוס על איכות הדיווח: תגמול לדיווחים מפורטים וברורים.
• בונוס נאמנות: תגמול לחוקרים שממשיכים לעבוד עם התוכנית לאורך זמן.
• בונוס על קמפיינים בעדיפות: תגמול על מחקר בתחומים שהחברה מגדירה כחשובים במיוחד.

בתקציר ההודעה אין פירוט של סכומי הגמולים החדשים, של שיעור העלייה ושל התנאים לקבלת הבונוסים.

למה זה חשוב

שתי ההודעות מתארות גישה בשתי שכבות. בתוך החברה, בדיקות מרוכזות שנעזרות ב-AI. מחוץ לה, קהילת חוקרים שמקבלת תמריץ כספי גדול יותר לחפש בעיות. הבונוסים על איכות ועל נאמנות נראים כמו ניסיון למשוך דיווחים טובים יותר וחוקרים קבועים, ולא רק להגדיל את מספר הדיווחים. ייתכן שזו גם תגובה לבעיה מוכרת בתוכניות כאלה: דיווחים חלשים או אוטומטיים שגוזלים זמן בבדיקה.

בשורה התחתונה, ככל שמוצרי OpenAI נכנסים לעוד ארגונים ולעוד תהליכי עבודה, האבטחה שלהם נוגעת ביותר משתמשים. שני הצעדים מצביעים ככל הנראה על כך שהחברה רואה באבטחה תחום שדורש השקעה מתמשכת, גם בכלים שהיא מפתחת בעצמה וגם בחוקרים מבחוץ.