Bug Bounty de IA: Evaluación de Alcance, Equidad e Incentivos

¡Bienvenido/a! Esta breve encuesta recopila sus comentarios sobre la equidad, la claridad del alcance y el diseño de incentivos de nuestro programa de bug bounty de IA durante los últimos 6 meses. Sus respuestas son confidenciales y se reportarán únicamente de forma agregada. No hay respuestas correctas o incorrectas: valoramos su opinión sincera. La encuesta toma aproximadamente de 8 a 10 minutos. La participación es voluntaria y puede detenerse en cualquier momento.

¿De qué maneras participa en el programa de bug bounty de IA? (Seleccione todas las que correspondan.)

• Propietario/responsable del programa
• Seguridad/AppSec
• Ingeniería/Plataforma
• IA/ML
• Legal/Cumplimiento
• Confianza y Seguridad
• Compras/Gestión de proveedores
• Producto/UX
• Patrocinador ejecutivo
• No participo directamente pero conozco el programa

¿Qué tan claros le resultan actualmente los objetivos generales del programa?

Pensando en los últimos 6 meses, ¿qué tan justas han sido en general nuestras decisiones de recompensas?

¿Qué incentivos motivan más las contribuciones de alta calidad? (Seleccione hasta 3.)

• Recompensas en efectivo
• Reconocimiento público/tabla de clasificación
• Reconocimiento privado (agradecimientos internos)
• Artículos promocionales/mercancía
• Acceso por invitación o programas beta
• Plazos de divulgación coordinada más rápidos
• Acceso a conjuntos de datos/APIs/entornos de pruebas
• Multiplicadores/bonificaciones por mayor gravedad
• Opción de donación a beneficencia

¿Qué cambios mejorarían más la equidad y la claridad del programa? (Seleccione hasta 3.)

• Publicar ejemplos de gravedad más claros
• Compartir rangos de pago por gravedad
• Estandarizar los SLA de clasificación
• Proporcionar un árbol de decisión de alcance
• Añadir casos de estudio públicos
• Introducir una revisión independiente para disputas
• Ampliar el acceso al entorno de pruebas
• Aumentar la frecuencia de las actualizaciones de alcance

¿Qué tan probable es que recomiende nuestro programa de bug bounty de IA a un investigador de seguridad externo?

¿Cuánto tiempo lleva trabajando en esta empresa?

• Menos de 6 meses
• 6–12 meses
• 1–3 años
• 3–5 años
• Más de 5 años
• Prefiero no decirlo

Gracias por completar esta encuesta. Sus comentarios contribuirán directamente a mejorar la claridad del alcance, la equidad en la evaluación y el diseño de incentivos del programa de bug bounty de IA.

¿Cuánto tiempo lleva participando o conociendo el programa de bug bounty de IA?

• Menos de 3 meses
• 3–6 meses
• 6–12 meses
• 1–2 años
• Más de 2 años

¿Qué tan clara es la definición de qué activos y modelos de IA/ML están dentro del alcance?

¿Qué tan consistentes han sido las clasificaciones de gravedad entre contribuciones similares?

Ordene las siguientes métricas de éxito de la más a la menos importante para evaluar el programa.

1. Número de informes válidos
2. Reducción de problemas recurrentes
3. Tiempo de clasificación
4. Tiempo de corrección
5. Satisfacción del investigador
6. Impacto ponderado por gravedad
7. Cobertura de los componentes de IA

Nos gustaría explorar sus comentarios con mayor profundidad. Un moderador de IA le hará un par de preguntas de seguimiento basadas en sus respuestas anteriores sobre el programa de bug bounty.

¿En qué región trabaja principalmente?

• Norteamérica
• Latinoamérica
• Europa
• Medio Oriente
• África
• Asia meridional
• Asia oriental
• Sudeste asiático
• Oceanía
• Prefiero no decirlo

¿Qué tan clara es la definición de qué tipos de vulnerabilidades y vectores de ataque específicos de IA califican?

¿Qué tan justos han sido los montos de las recompensas en relación con el esfuerzo y el impacto de las contribuciones?

Con base en sus respuestas en esta encuesta, comparta cualquier idea o sugerencia adicional para mejorar el programa de bug bounty de IA.

¿Aproximadamente cuántos informes de recompensas ha revisado personalmente en los últimos 6 meses?

• 0
• 1–5
• 6–20
• 21–50
• 51+
• No aplica

¿Qué tan claros son los criterios de clasificación de gravedad y los niveles de pago correspondientes?

¿Qué tan oportuno y comunicativo ha sido el proceso de clasificación?

¿Qué tan claras son las exclusiones fuera de alcance y las reglas de participación?

¿Qué tan justamente se han manejado los informes duplicados o en disputa?

Si alguna redacción del alcance le parece ambigua o incompleta, comparta ejemplos o frases específicas que mejoraría.

¿Qué tan adecuados son los montos de pago actuales en relación con el esfuerzo y el impacto de las contribuciones?