Adobe étend son programme de bug bounty pour tenir compte de GenAI

Adobe a élargi la portée de son programme de bug bounty – qui est supervisé par les spécialistes de HackerOne – pour rendre compte du développement de intelligence artificielle générative (IA), récompensant les pirates informatiques éthiques qui découvrent et divulguent de manière responsable les vulnérabilités d’Adobe Firefly, de sa plateforme d’IA générative et de son service Content Credentials.

L’organisation a déclaré qu’à mesure que l’IA générative s’intègre plus étroitement dans la vie quotidienne des gens, il devenait de plus en plus important de comprendre et d’atténuer les risques qui en découlent, et qu’en élargissant son programme et en favorisant un dialogue ouvert sur une IA sûre, sécurisée et digne de confiance, elle espérait pour encourager de nouvelles idées et perspectives, tout en offrant de la transparence et en améliorant la confiance.

« Les compétences et l’expertise des chercheurs en sécurité jouent un rôle essentiel dans l’amélioration de la sécurité et peuvent désormais contribuer à lutter contre la propagation de la désinformation », Dana Rao, vice-président exécutif, avocat général et directeur de la confiance chez Adobe.

« Nous nous engageons à travailler avec l’ensemble du secteur pour contribuer à renforcer la mise en œuvre de nos informations d’identification de contenu dans Adobe Firefly et d’autres produits phares afin de mettre les problèmes importants au premier plan et d’encourager le développement de solutions d’IA responsables », a déclaré Rao.

Lancé en mars 2023 après avoir été développé sur sa plateforme Sensei, Adobe Luciole est une famille de modèles d’IA génératifs destinés aux concepteurs, qui ont été formés sur des millions d’images de Creative Commons, Wikimedia et Flickr Commons, ainsi que d’Adobe Stock et d’autres images du domaine public.

En ouvrant le service aux chasseurs de bugs, Adobe souhaite que les pirates accordent une attention particulière aux OWASP Top 10 pour les grands modèles de langage (LLM), examinant les problèmes liés à une injection rapide, à la divulgation d’informations sensibles ou à l’empoisonnement des données de formation, afin d’identifier les faiblesses de Firefly.

La deuxième partie de l’extension, couvrant Informations d’identification du contenu, est censé contribuer à fournir plus de transparence quant à la provenance des éléments créés à l’aide de Firefly. Ils sont construits sur la norme ouverte C2PA et servent de métadonnées inviolables concernant leur création et leur édition. Les informations d’identification de contenu sont également intégrées dans un certain nombre de produits Adobe en plus de Firefly, notamment Photoshop et Lightroom.

« Créer des produits d’IA sûrs et sécurisés commence par engager des experts qui connaissent le mieux les risques de cette technologie. La communauté mondiale des hackers éthiques aide les organisations non seulement à identifier les faiblesses de l’IA générative, mais également à définir quels sont ces risques », a déclaré Dane Sherrets, architecte de solutions senior chez HackerOne. « Nous félicitons Adobe pour son engagement proactif auprès de la communauté. Une IA responsable commence par des propriétaires de produits responsables. »

Les hackers éthiques intéressés à jeter un œil sous le capot peuvent trouver plus d’informations sur Adobe. page HackerOne dédiéeou s’ils souhaitent rejoindre son programme privé de bug bounty, je peux postuler ici.

Pour les cyberprofessionnels qui se dirigent vers BSides San Francisco le week-end des 4 et 5 mai, Adobe sera également présent au Village de la prime aux insecteset en parrainant une soirée « dystopique » le samedi soir au cours de laquelle les danseurs « tisseront un récit interprétatif des luttes éthiques de la technologie ».

Adobe rejoint un nombre croissant d’entreprises technologiques qui prennent des mesures pour faire face aux risques de l’IA générative par le biais de programmes de bug bounty, parmi lesquels Google, qui a étendu son programme de bug bounty, le Programme de récompenses pour les vulnérabilités (VRP) pour englober des scénarios d’attaque spécifiques à la chaîne d’approvisionnement de l’IA générative en octobre 2023.