Meta AI
Pago máximo:
Normas
En Meta valoramos las contribuciones de los investigadores externos que nos ayudan a detectar y abordar posibles vulnerabilidades en nuestros productos y servicios de IA. En estas pautas se describe cómo evaluamos el impacto de los informes que recibimos mediante nuestro programa Bug Bounty y cómo determinamos los pagos correspondientes, cuyo importe máximo es de $90,000* para problemas específicos relativos a productos y servicios de IA. Posteriormente, aplicamos todas las deducciones correspondientes en función de la interacción necesaria por parte del usuario, los requisitos previos y cualquier otro factor mitigador para calcular el importe final de la recompensa.
Pagos
Ejemplos
Tomar el control de la cuenta de Meta AI de un usuario particular (ATO) |
Filtrar conversaciones privadas de un usuario, datos de conector (p. ej., datos de correo electrónico o calendario), imágenes, artefactos o información de identificación personal de usuario usando las funciones de Meta AI |
Filtrar conversaciones de usuario, imágenes o artefactos eliminados usando las funciones de Meta AI |
Explotar a un usuario que haya sido víctima usando CSRF, XSS o ataques de estilo de datos compartiendo un artefacto de IA malicioso |
Acceder a la sesión, la conversación o el contenido generado de otro usuario sin autorización, o modificarlos. Esto incluye leer el historial de conversaciones, modificar artefactos privados o acceder a contenido multimedia privado. |
Exfiltración de credenciales o identificadores OAuth de terceros (accediendo a los identificadores de servicios conectados de una víctima, como Gmail, Outlook, Google Drive, Apple Health, etc.) mediante Meta AI para conseguir un acceso persistente a sus cuentas de terceros. |
Filtrar piezas de contenido confidenciales de usuarios de inteligencia artificial (es decir, una imagen, artefacto o publicación) usando FBID u otro identificador de baja entropía que esté protegido usando un identificador de alta entropía como PFBID |
Circunstancias atenuantes (deducción del importe máximo)
Tenemos en cuenta los siguientes factores al hacer las deducciones pertinentes del pago máximo para establecer el importe final de las recompensas:
El contenido de usuario es público de forma intencionada Hasta el 100 % |
Los datos del usuario están limitados (p. ej., solo se devuelven datos de Meta AI, pero no se ven afectados los datos de la familia de aplicaciones o FOA, por sus siglas en inglés). Hasta un 50 % |
Requisitos de interacción con las víctimas que reducen la posibilidad de ataque en el mundo real: - A fin de ajustarse a los últimos requisitos del producto, la pauta actual es que todos los ataques que requieran una interacción poco realista por parte del usuario no cumplirán los requisitos de pago hasta nuevo aviso - La interacción poco realista del usuario hace referencia a acciones no habituales, como hacer clic en enlaces maliciosos no ocultos, subir contenido creado por un atacante, ejecutar manualmente una indicación específica o volver a interactuar con el resultado de una herramienta anterior Hasta el 100 % |
Requisitos para las cuentas de las víctimas que reducen el número de posibles víctimas (p. ej., víctimas que han conectado su cuenta de correo electrónico) Hasta un 50 % |
Ejemplos
Tener acceso de lectura/escritura a datos internos de Meta |
Tener acceso de lectura/escritura a datos de formación |
Acceder a la arquitectura y los pesos del modelo de IA propio |
Acceder a modelos de IA experimentales, de última generación, premium o no públicos |
Acceder a Meta AI o cualquier agente propiedad de Meta. |
Acceso para modificar una configuración o un parámetro de la IA que no sea público |
Circunstancias atenuantes (deducción del importe máximo)
Tenemos en cuenta los siguientes factores al hacer las deducciones pertinentes del pago máximo para establecer el importe final de las recompensas:
Datos de Meta que sean públicos de forma intencionada Hasta el 100 % |
Presenta algunas limitaciones (por ejemplo, acceso interno limitado) Hasta un 90 % |
Ejemplos
Ejecución de herramientas peligrosas sin confirmación humana: la posibilidad de activar acciones financieras (por ejemplo, modificar la configuración de los anuncios o de la empresa, realizar compras y añadir suscripciones). |
Vulnerabilidades de “suplente confuso”: la capacidad de escalar permisos mediante la IA para llamar a servicios o API confidenciales (por ejemplo, usar un agente de IA para reducir el precio de un pedido de compra). |
Circunstancias atenuantes (deducción del importe máximo)
Tenemos en cuenta los siguientes factores al hacer las deducciones pertinentes del pago máximo para establecer el importe final de las recompensas:
Limitaciones de API o servicios a los que se puede llamar -90 % o más |
Ejemplos
Ser capaz de insertar cadenas como terceros que aparezcan ante el agente como instrucciones del usuario o el sistema directas, es decir, una inserción de instrucciones que se pueda reproducir de forma regular porque evita las defensas de inserción de instrucciones |
Ser capaz de ocultar instrucciones maliciosas usando caracteres de formato especiales e invisibles para el usuario antes de que el agente de IA procese dichas instrucciones. |
Circunstancias atenuantes (deducción del importe máximo)
Tenemos en cuenta los siguientes factores al hacer las deducciones pertinentes del pago máximo para establecer el importe final de las recompensas:
La inyección de instrucciones no es determinista y no se puede reproducir de forma coherente Hasta el 100 % |
Las instrucciones insertadas no son completamente invisibles y alteran la interfaz o experiencia de usuario de la víctima. Hasta el 100 % |
Circunstancias atenuantes habituales
Circunstancias atenuantes habituales en las normas
Requiere que la víctima realice una acción de lectura |
Requiere que la víctima realice una acción de escritura |
Requiere que la víctima haya habilitado o conectado un servicio de terceros específico (por ejemplo, Gmail o Calendar). |
Requiere información adicional (p. ej., conocimiento de la clave de Metagen) o tiene algunos requisitos previos (p. ej., debe ser el propietario de una página de FB) |
Actualmente, las siguientes cuestiones no son aptas, a menos que se demuestre cualquiera de los riesgos aptos.
Realizar un ataque de inyección de instrucciones o acceso raíz
- Hasta nuevo aviso, las inyecciones de instrucciones o accesos raíz no se considerarán aptos para los pagos a menos que estén encadenados con otro riesgo apto para los pagos de esta lista. Ejemplo:
- La inyección de instrucciones que da como resultado la extracción de instrucciones del sistema no cumple los requisitos de pago.
- La inyección de instrucciones mediante un origen de datos conectado (correo electrónico, calendario, documentos) que da como resultado la exfiltración de datos de la víctima se clasificará como acceso al contenido privado del usuario.
- El riesgo de inyección de instrucciones se mide por el impacto de su resultado.
Alucinación: en el contexto de Bug Bounty, las alucinaciones incluyen los siguientes casos:
- El resultado de la inteligencia artificial generativa contiene contenido fácticamente incorrecto o aparentemente aleatorio
- Las inyecciones de instrucciones o accesos raíz (jailbreak) que no se pueden reproducir de forma coherente
En ambos casos, las alucinaciones se consideran no aptos para pagos incluso aunque estén encadenadas con un riesgo apto para los pagos de esta lista
Problemas de integridad de la IA
- Las elusiones de integridad se consideran no aptas para los pagos a menos que den lugar a un riesgo apto para los pagos de esta lista o se produzcan por un riesgo apto para los pagos de esta lista
Enumeración de herramientas para agentes sin demostrar un impacto mayor.
Recompensa adicional por CSRF; la vulnerabilidad de XSS entre sitios se pagará según nuestras normas de pago generales.