"Abuse Risks are Often Inherent to Product Features": Exploring AI Vendors' Bug Bounty and Responsible Disclosure Policies

Resumen Técnico: "Los riesgos de abuso suelen ser inherentes a las características del producto": Explorando las políticas de Bug Bounty y de divulgación responsable de los proveedores de IA

Planteamiento del problema

A medida que la inteligencia artificial (IA) y los modelos de lenguaje extensos (LLM) se integran profundamente en el software de producción, las implicaciones de seguridad de estos sistemas probabilísticos siguen siendo inciertas. A diferencia del software determinista tradicional, los sistemas de IA operan mediante reglas aprendidas de los datos, lo que da lugar a vulnerabilidades únicas como la inyección de prompts, la extracción de modelos y las alucinaciones. Existe una brecha crítica en la comprensión de si los proveedores han adaptado sus políticas de divulgación de vulnerabilidades (VDP) y sus programas de recompensas por errores (BBP) para abordar estos riesgos específicos. Los estudios empíricos previos sobre políticas de divulgación preceden a la rápida adopción de la IA, y se desconoce si los mecanismos existentes incentivan eficazmente el reporte de fallos específicos de la IA o si los proveedores los reconocen como distintos de las violaciones de seguridad tradicionales.

Metodología

Los autores llevaron a cabo un estudio de métodos mixtos analizando las políticas de divulgación de vulnerabilidades de 264 proveedores de IA. La investigación empleó tres estrategias principales de recolección y análisis de datos:

1. Identificación de proveedores y recolección de políticas:

   • Los proveedores fueron identificados utilizando las listas de productos de Gartner en nueve categorías de IA, lo que resultó en una lista única de 264 empresas.
   • Las políticas de divulgación se recolectaron a través de archivos security.txt, plataformas principales de bug bounty (HackerOne, Bugcrowd, Huntr) y búsquedas manuales en la web.
   • El corpus final incluyó 168 documentos de política (BBP, VDP o contactos de seguridad).

2. Análisis cualitativo y longitudinal de políticas (RQ1 y RQ2):

   • Estructura de alto nivel: Las políticas se mapearon contra un marco expandido de 15 elementos (basado en Walshe et al. [79]), incluyendo nuevos elementos como Compromiso del Servicio y Canal de Contacto para capturar matices específicos de la IA.
   • Análisis específico de IA: Un subconjunto de 48 proveedores con menciones explícitas de IA fue sometido a un análisis de instantánea y longitudinal. Los investigadores extrajeron 422 unidades temáticas y 205 cambios históricos de políticas (2018–2025) para rastrear su evolución.
   • Fiabilidad de la codificación: Dos autores codificaron independientemente 100 unidades, logrando un coeficiente Kappa de Cohen de 0.816.

3. Análisis de alineación (RQ3):

   • Datos de incidentes: Se extrajeron 320 incidentes de IA del mundo real de la Base de Datos de Incidentes de IA (AIID) y se mapearon con la Taxonomía de Riesgos de IA del MIT.
   • Investigación académica: Se analizaron 359 artículos de seguridad de IA de cuatro conferencias principales de seguridad (2020–2024) para crear una meta-taxonomía del enfoque de investigación.
   • Comparación: El estudio comparó el cronograma y el enfoque temático de las políticas de los proveedores frente a estos conjuntos de datos de incidentes y académicos.

Contribuciones clave

• Auditoría sistemática de políticas: El primer estudio empírico a gran escala (264 proveedores) que caracteriza el estado de las políticas de divulgación de vulnerabilidades de IA.
• Taxonomía de enfoques de proveedores: La identificación de tres perfiles de proveedores distintos basados en su postura hacia las vulnerabilidades de IA: Clarificación Proactiva, Silencioso y Restrictivo.
• Seguimiento longitudinal: Un cronograma detallado de la evolución de las políticas, revelando cuándo y cómo los proveedores comenzaron a abordar los riesgos específicos de la IA.
• Análisis de brecha de alineación: Una evaluación comparativa que muestra la desalineación entre los alcances de divulgación de los proveedores, los incidentes del mundo real y las prioridades de investigación académica.

Resultados clave

1. Estado de la divulgación (RQ1)

• Adopción: Solo el 64% de los proveedores de IA tienen un canal de divulgación público. El 36% no tiene una política establecida o un mecanismo de contacto.
• Reconocimiento explícito de la IA: Solo el 18% de los proveedores mencionan explícitamente los riesgos de la IA en sus documentos de divulgación. La primera mención ocurrió en 2018.
• Consistencia del alcance:
  • Dentro del alcance: Las vulnerabilidades definidas por objetivos de seguridad tradicionales (ej. integridad del sistema, acceso a datos, autorización) son las más consistentemente aceptadas (91%). Las vulnerabilidades específicas de modelos de IA como la inyección de prompts (71%), ejemplos adversarios (80%) y extracción de modelos (90%) están frecuentemente dentro del alcance.
  • Fuera del alcance: Los problemas relacionados con las características de la IA y la seguridad del contenido rara vez son aceptados. El jailbreaking (27%), el contenido dañino (45%) y las alucinaciones (17%) son los más comúnmentamente declarados fuera del alcance.
• Recompensas: Entre los proveedores que ofrecen recompensas por problemas de IA, algunos asignan pagos menores (percepción de menor impacto), mientras que otros asignan pagos más altos (tratando los modelos como activos centrales). Sin embargo, ninguna recompensa específica de IA superó las primas de nivel superior para vulnerabilidades críticas tradicionales.

2. Perfiles de proveedores (RQ2)
El estudio clasifica a los proveedores en tres perfiles:

• Clarificación Proactiva (17%, n=46): Típicamente proveedores de modelos (ej. Google, Microsoft, Meta). Clarifican explícitamente los reportes de IA dentro o fuera del alcance, proporcionando a menudo canales separados, marcos de severidad y guías de prueba.
• Silencioso (44%, n=115): Típicamente aplicaciones de IA generativa. No mencionan reportes de IA en sus políticas. Aunque pueden aceptar reportes bajo términos genéricos, no ofrecen orientación ni garantías.
• Restrictivo (39%, n=103): A menudo proveedores de ciencia de datos o empresas sin un canal de divulgación. O bien rechazan explícitamente los reportes de IA (citando "riesgos de abuso inherentes" o falta de vulnerabilidad independiente) o carecen de cualquier mecanismo para recibirlos.

3. Alineación con incidentes e investigación (RQ3)

• Retraso temporal: Los proveedores abordaron las vulnerabilidades de la IA en sus políticas significativamente más tarde que la investigación académica y los incidentes del mundo real. Por ejemplo, mientras que los ataques de extracción de modelos se discutían académicamente en 2016, los principales proveedores solo aclararon su estatus de inclusión en 2023.
• Desalineación temática:
  • Proveedores y Academia: Se centran fuertemente en vulnerabilidades técnicas de nivel superior (extracción de modelos, ejemplos adversarios, inyección de prompts).
  • Incidentes del mundo real: Dominados por problemas de seguridad de contenido en el nivel inferior (discriminación, toxicidad, desinformación), que representan más del 40% de los incidentes públicos pero rara vez están dentro del alcance de las bug bounties de los proveedores.
• Crecimiento: Los tres conjuntos de datos (políticas, incidentes, artículos) muestran un crecimiento de tipo "hockey-stick" en los últimos años, con las menciones de políticas creciendo más rápido (70% de las menciones en 2023–2024).

Significancia y afirmaciones

El artículo afirma que el panorama actual de la divulgación de vulnerabilidades de IA es fragmentado y reactivo. Los autores argumentan que, si bien los proveedores están comenzando a abordar fallos técnicos de la IA (como la extracción de modelos), en gran medida rechazan los "riesgos de abuso" (como las alucinaciones o el contenido dañino) al enmarcarlos como características inherentes del producto en lugar de vulnerabilidades reparables.

El estudio destaca una desconexión crítica: la investigación académica y el daño en el mundo real se centran fuertemente en la seguridad del contenido y el impacto social, mientras que las políticas de divulgación de la industria permanecen ancladas en los objetivos de seguridad tradicionales (confidencialidad, integridad, disponibilidad). Los autores sugieren que los proveedores pueden estar adoptando un enfoque de "lanzar y parchear después" similar al de la seguridad de software temprana, confiando en filtros añadidos posteriormente en lugar de una IA segura desde el diseño. Concluyen que sin políticas más claras y sin el reconocimiento de la seguridad del contenido como un problema de seguridad, la industria podría fallar en incentivar el descubrimiento y la remediación de los riesgos de IA más prevalentes.