Scaling coordinated vulnerability disclosure
เราเริ่มดำเนินการเรื่องนี้เนื่องจากเราเชื่อว่าการเปิดเผยช่องโหว่ที่ประสานงานกันจะเป็นแนวทางที่จำเป็น เมื่อระบบ AI มีความสามารถในการค้นหาและแก้ไขช่องโหว่ด้านความปลอดภัยได้มากขึ้น
ระบบที่พัฒนาโดย OpenAI ของเราเคยค้นพบช่องโหว่ Zero-day ในซอฟต์แวร์โอเพนซอร์สและบุคคลที่สามแล้ว ดังนั้นเราจึงเข้ามาดำเนินการเชิงรุกเพื่อรองรับการค้นพบในอนาคต
What the policy covers
นโยบายนี้กำหนดวิธีการที่เราเปิดเผยปัญหาที่พบในซอฟต์แวร์โอเพนซอร์สและเชิงพาณิชย์ ทั้งจากการตรวจสอบโค้ดด้วยตนเองและอัตโนมัติ รวมถึงการค้นพบจากการใช้งานซอฟต์แวร์ของบุคคลที่สาม
หลักการของเราคือการมุ่งเน้นผลกระทบ การร่วมมือ การรักษาความลับเป็นค่าเริ่มต้น และการให้เครดิตเมื่อจำเป็น เราเปิดกว้างเรื่องกรอบเวลาการเปิดเผย เพื่อให้สอดคล้องกับการค้นพบช่องโหว่ที่ซับซ้อนซึ่งต้องใช้เวลาในการแก้ไขร่วมกับผู้ดูแลซอฟต์แวร์
ศัพท์ที่ควรรู้
- Zero-day vulnerabilities – ช่องโหว่ด้านความปลอดภัยที่ยังไม่มีแพตช์หรือการป้องกัน
- Coordinated vulnerability disclosure – การเปิดเผยช่องโหว่ที่ประสานงานกันระหว่างผู้ค้นพบและผู้พัฒนา
- Open-source software – ซอฟต์แวร์ที่เปิดเผยซอร์สโค้ดให้สาธารณะเข้าถึงและตรวจสอบได้
- Attribution – การให้เครดิตแก่ผู้ที่ค้นพบและรายงานช่องโหว่
ที่มา: OpenAI