ชาวเน็ตแซะ OpenAI ใจแคบ จ่ายค่าหัวบั๊กสุดสำคัญแค่ 300 เหรียญ

เรื่องย่อ

กระทู้จาก u/py-net กลายเป็นประเด็นร้อนเมื่อมีการแชร์ข้อมูลเกี่ยวกับเงินรางวัลการตรวจพบช่องโหว่ (Bug Bounty) ของ OpenAI ที่ดูเหมือนจะน้อยจนน่าตกใจเมื่อเทียบกับมูลค่าบริษัทระดับพันล้าน โดยโพสต์นี้ได้รับความสนใจอย่างมากด้วยคะแนน upvote กว่า 4,800 ครั้ง และมีคอมเมนต์เข้ามาแลกเปลี่ยนประสบการณ์เกี่ยวกับความเข้มงวดของบริษัทเทคใหญ่ๆ ในการจ่ายเงินรางวัลให้เหล่านักล่าบั๊ก

คนในกระทู้ว่าอย่างไร

• คอมเมนต์ที่ได้รับความสนใจมากที่สุดมองว่ารางวัลเพียง 300 เหรียญสำหรับการเจอช่องโหว่ระดับ Sandbox Escape นั้นถือว่าบ้ามาก เพราะในตลาดมืด (Grey Markets) ช่องโหว่แบบนี้สามารถขายได้ในราคาสูงกว่าหลายเท่าตัว การทำแบบนี้จะทำให้คนหันไปขายข้อมูลให้บุคคลที่สามแทน
• หลายคนตั้งข้อสังเกตว่า OpenAI กำลังถังแตกหรือไม่ เพราะแม้บริษัทจะมีมูลค่าสูงแต่ก็ยังไม่มีกำไร ซึ่งเงินรางวัลที่จ่ายอาจจะน้อยพอๆ กับค่าเช่าบ้านแค่ครึ่งเดือนในบางพื้นที่ด้วยซ้ำ
• มีคนเปรียบเทียบกับบริษัทใหญ่รายอื่นอย่าง Microsoft หรือ Apple ว่ามีพฤติกรรมคล้ายกัน คือพยายามปฏิเสธรายงานตอนแรกเพื่อไม่ต้องจ่ายเงิน แต่สุดท้ายก็นำข้อมูลไปแก้ไขเงียบๆ หรือบางรายอาจถูกขู่ดำเนินคดีแทนที่จะได้รางวัล
• ความเห็นหนึ่งชี้ให้เห็นว่าในโปรแกรม Bug Bounty ของ OpenAI เองระบุว่าจ่ายสูงสุดได้ถึง 20,000 เหรียญ แต่การจ่ายเพียง 300 เหรียญให้ช่องโหว่ที่เข้าถึง API ได้โดยไม่ต้องยืนยันตัวตนนั้นดูเหมือนการให้ความสำคัญกับบั๊กร้ายแรงเท่ากับการหาคำสะกดผิดในหน้า FAQ เท่านั้น
• นักล่าบั๊กบางคนแนะนำว่าไม่ควรรายงานช่องโหว่ให้บริษัทเหล่านี้โดยตรง แต่ควรผ่านตัวกลางอย่าง HackerOne หรือเก็บไว้ใช้เอง เพราะผลตอบแทนจากการรายงานโดยตรงนั้นไม่คุ้มค่าเหนื่อยและทักษะที่ใช้ไปเลย