Meta AI
Pago máximo:
Normas
En Meta, valoramos las contribuciones de investigadores externos para ayudarnos a identificar y abordar vulnerabilidades potenciales en nuestros productos y servicios de IA. En estas normas, se ilustra cómo evaluamos el impacto de los reportes enviados a través de nuestro programa Bug Bounty y cómo determinamos los pagos correspondientes, con un pago máximo de $90,000* para problemas especÃficos de productos y servicios de IA. Además, cómo aplicamos luego cualquier deducción correspondiente según la interacción del usuario requerida, los requisitos previos y cualquier otro factor de mitigación para llegar a la cantidad final de recompensa otorgada.
Pagos
Ejemplos
Poder tomar el control de la cuenta de Meta AI de un usuario privado (ATO) |
Poder filtrar conversaciones, datos de conectores (p. ej., datos de correo electrónico o calendario), imágenes, artefactos o información de identificación personal de usuarios privados con funciones de Meta AI |
Poder filtrar conversaciones, imágenes o artefactos eliminados de usuarios con funciones de Meta AI |
Poder explotar a un usuario vÃctima mediante CSRF, XSS o ataques de exfiltración de datos compartiendo un artefacto de IA malicioso |
Acceder a la sesión, la conversación o el contenido generado de otro usuario, o modificarlos, sin autorización, lo que incluye leer el historial de conversaciones, modificar artefactos privados o acceder a contenido multimedia privado |
Exfiltración de tokens o credenciales de OAuth de terceros (acceso a los tokens de servicios conectados de una vÃctima, como Gmail, Outlook, Google Drive, Apple Health, etc.) a través de Meta AI, lo que permite el acceso persistente a sus cuentas de terceros. |
Poder filtrar activos confidenciales de usuarios de IA (como imágenes, artefactos o publicaciones) mediante un FBID u otro identificador de baja entropÃa que esté protegido por un identificador de alta entropÃa (como un PFBID) |
Factores atenuantes (se deducen del importe máximo)
Tenemos en cuenta los siguientes factores al aplicar deducciones al pago máximo hasta llegar al importe final de la recompensa:
El contenido del usuario es intencionalmente público Hasta el 100% |
Los datos del usuario están limitados (por ejemplo, solo se devuelven los datos de Meta AI, pero no se ven afectados los datos de la familia de apps [FOA]) Hasta un 50% |
Requisitos de interacción con la vÃctima que reducen la explotabilidad en el mundo real - Para alinearse con los últimos requisitos del producto, la pauta actual es que todos los ataques que requieran interacciones no realistas de los usuarios no califican para el pago hasta nuevo aviso - La interacción no realista del usuario describe acciones no estándar que incluyen hacer clic en enlaces maliciosos no ofuscados, subir contenido creado por el atacante, iniciar manualmente una indicación especÃfica y volver a interactuar con salidas anteriores de la herramienta Hasta el 100% |
Requisitos de la cuenta de la vÃctima que reducen el número de posibles vÃctimas (p. ej., la vÃctima conectó su cuenta de correo electrónico) Hasta un 50% |
Ejemplos
Acceso de lectura o escritura a datos internos de Meta |
Acceso de lectura o escritura a datos de entrenamiento |
Acceso a la arquitectura y los pesos del modelo de IA |
Acceso a modelos de IA de última generación, experimentales, premium o no públicos |
Acceso a Meta AI o cualquier agente de propiedad de Meta |
Acceso para modificar la configuración o el parámetro de una IA que no sea pública |
Factores atenuantes (se deducen del importe máximo)
Tenemos en cuenta los siguientes factores al aplicar deducciones al pago máximo hasta llegar al importe final de la recompensa:
Los datos de Meta son públicos de manera intencional Hasta el 100% |
Tiene algunas limitaciones (p. ej., acceso interno limitado) Hasta un 90% |
Ejemplos
Ejecución de herramientas peligrosas sin confirmación humana: poder desencadenar acciones financieras (p. ej., modificar configuraciones de anuncios o de negocios confidenciales, realizar compras y agregar suscripciones) |
Vulnerabilidades de un representante confundido: poder escalar permisos con IA para llamar API/servicios confidenciales (p. ej., usar un agente de IA para reducir el precio de una orden de compra) |
Factores atenuantes (se deducen del importe máximo)
Tenemos en cuenta los siguientes factores al aplicar deducciones al pago máximo hasta llegar al importe final de la recompensa:
Limitaciones en las API o los servicios que se pueden llamar Deducción del 90% o más |
Ejemplos
Poder insertar cadenas como terceros que aparezcan ante el agente como instrucciones directas del usuario o del sistema, es decir, una inserción de instrucciones que se pueda reproducir de manera constante porque evita las defensas contra la inserción de instrucciones |
Poder ocultar instrucciones maliciosas usando caracteres de formato especiales, como los caracteres invisibles, para que el usuario no las vea antes de que el agente de IA las procese |
Factores atenuantes (se deducen del importe máximo)
Tenemos en cuenta los siguientes factores al aplicar deducciones al pago máximo hasta llegar al importe final de la recompensa:
La inserción de instrucciones no es determinista y no se puede reproducir de manera constante Hasta el 100% |
La indicación insertada no es completamente invisible y altera la UI/UX de la vÃctima Hasta el 100% |
Factores atenuantes habituales
Factores atenuantes habituales en todas las normas
Requiere que la vÃctima realice una acción de lectura |
Requiere que la vÃctima realice una acción de escritura |
Requiere que la vÃctima haya activado o conectado un servicio de terceros especÃfico (p. ej., Gmail, Calendar) |
Requiere información adicional (p. ej., conocimiento de la clave Metagen) o ciertos requisitos previos (como ser propietario de una página de Facebook) |
Por el momento, los siguientes problemas no son elegibles, a menos que los riesgos elegibles se demuestren.
Poder realizar una inyección de instrucciones o liberación
- Hasta nuevo aviso, las inyecciones de instrucciones y las liberaciones no se considerarán elegibles para pagos, a menos que se encadenen con otro riesgo elegible para pagos incluido en esta lista. Ejemplo:
- La inyección de instrucciones que da lugar a la extracción de instrucciones del sistema no reúne los requisitos para pagos.
- La inyección de instrucciones mediante orÃgenes de datos conectados (correo electrónico, calendario, documentos) que da lugar a la exfiltración de datos de la vÃctima se clasificará como acceso a contenido privado del usuario.
- El riesgo de inyección de instrucciones se mide según el impacto del resultado.
Alucinación. En el contexto de Bug Bounty, las alucinaciones incluyen los siguientes escenarios:
- Los resultados de la IA generativa incluyen contenido objetivamente incorrecto o aparentemente aleatorio.
- Inyección de instrucciones y liberación que no pueden reproducirse de modo uniforme.
En ambos escenarios, las alucinaciones se consideran no elegibles para pagos, incluso si están encadenadas con un riesgo elegible para pagos incluido en esta lista.
Problemas de integridad de IA
- Eludir la integridad no se considera elegible para pagos a menos que genere un riesgo elegible para pagos incluido en esta lista o sea causado por un riesgo elegible incluido en esta lista
Enumeración de las herramientas de agente sin demostrar un mayor impacto
Las recompensas adicionales de vulnerabilidad de CSRF y XSS se pagarán conforme a las normas de pago generales.