Microsoft hat ein neues Bug-Bounty-Programm für die Bing-KI gestartet und zahlt Findern von Sicherheitslücken je nach Schwere bis zu 15.000 US-Dollar. Das Microsoft Security Response Center (MSRC) beschreibt die Regeln in einer eigenen Ankündigung, die auch die zulässigen Angriffsklassen und Ausnahmen auflistet.
Belohnt werden Schwachstellen, die sich nicht nur auf das KI-gestützte Bing unter bing.com beziehen, sondern auch auf die Bing-Integration in Microsoft Edge sowie auf die Bing- und Skype-Apps für Android und iOS. Für den unter bing.com gehosteten Dienst gilt das Programm sowohl für den regulären Bing Chat als auch für Bing Chat for Enterprise und den Bing Image Creator.
Klassische Prompt-Injections zählen nicht
Microsoft grenzt das Programm bewusst ein. Reine Ausgabefehler des Sprachmodells, etwa ungenaue oder unangemessene Antworten ohne technischen Sicherheitsbezug, fallen nicht unter die Bounty-Regelung. Gesucht werden stattdessen konkrete technische Schwachstellen wie Cross-Site-Scripting, Rechteausweitung oder Datenlecks, über die sich die KI-Dienste missbrauchen lassen. Die genaue Höhe der Prämie richtet sich nach Schweregrad und Qualität des eingereichten Berichts.
Microsoft betreibt bereits seit Jahren mehrere Bug-Bounty-Programme für unterschiedliche Produkte, etwa für Azure, Microsoft 365 und den Edge-Browser. Mit dem eigenen Programm für die KI-Funktionen von Bing reagiert der Konzern auf das gestiegene Interesse von Sicherheitsforschern an generativen KI-Systemen, seit Bing Chat im Februar 2023 eingeführt wurde.