OpenAI Dobra O Bug Bounty E Faz Novo Sprint De Segurança Com A Cathedral

A OpenAI anunciou na segunda-feira, 2 de novembro, dois movimentos para blindar suas plataformas: um novo sprint interno de segurança, em parceria com a empresa Cathedral, e a maior reestruturação de recompensas do seu programa de bug bounty — com o meio das faixas de pagamento multiplicado por mais de quatro nos níveis médio, alto e crítico. Pesquisadores independentes que acharem falhas em ChatGPT, Codex ou na API Platform podem faturar até US$ 30 mil por vulnerabilidade crítica, com casos excepcionais chegando a US$ 172 mil com bônus.

No sprint, pesquisadores da Cathedral usarão os próprios modelos da OpenAI ao lado das equipes internas para desafiar as defesas da companhia. "A OpenAI está dando um importante exemplo ao se associar a empresas externas de segurança e usar seus próprios modelos para testar e fortalecer continuamente suas defesas", afirmou Gavin Kliger, CEO e cofundador da Cathedral. "Toda empresa deveria estar pensando em como colocar essas capacidades para trabalhar."

O Sprint Anterior: 25% Dos Engenheiros De Produto

O esforço se constrói sobre o sprint anterior, em que a OpenAI dedicou 25% dos seus engenheiros de produto a encontrar e corrigir fraquezas nos próprios sistemas. Usando o Codex, os engenheiros investigaram achados, reproduziram vulnerabilidades em ambientes isolados e prepararam patches para revisão. A empresa argumenta que defesas cibernéticas tradicionais já não bastam, diante de incidentes recentes que mostram o rápido surgimento de ameaças — e que manter a "janela do defensor" aberta exige usar capacidades cibernéticas de fronteira para endurecer os sistemas. Os modelos mais capazes da OpenAI estão disponíveis também para clientes do Daybreak, programa ao qual a companhia comprometeu US$ 1 bilhão em acesso subsidiado ao longo de seis meses para defensores de serviços essenciais.

De US$ 6,5 mil para US$ 51.577: é o salto de um resgate de conta de um clique no ChatGPT no novo cálculo de recompensas, considerando multiplicadores de qualidade, campanha e fidelidade.

Quanto Agora Paga Cada Falha

Na tabela nova, uma falha crítica em ativo central como ChatGPT, Codex ou API Platform rende até US$ 30 mil; achados críticos excepcionais, com comprometimento significativo de fronteira de segurança — como ler mensagens arbitrários de usuários — seguem elegíveis para até US$ 100 mil, chegando a US$ 172 mil com bônus. Exemplos divulgados: uma falha média no ChatGPT que pagava US$ 750 passa a rende US$ 2.415; um sequestro de conta de um clique, de US$ 6.500 para US$ 51.577. Os bônus vêm de três fontes: multiplicador de qualidade do relatório (prova de conceito isolável e explorável), programa de fidelidade em cinco níveis e campanhas prioritárias para novos recursos. A OpenAI ainda vai aplicar as novas faixas a relatórios pendentes e pagar a diferença de bônus concedidos nos 30 dias anteriores ao anúncio.

Defensores, Blueprint E Oakland

A companhia segue compartilhando a arquitetura e as lições do último sprint, sob o rótulo Defense Factory, além de um blueprint para empoderar defensores de cibersegurança em indústria e governo. A equipe de segurança estará presencialmente em 20 e 21 de novembro na PROMPT2PWN, em Oakland, onde pesquisadores poderão testar alvos ao vivo. O anúncio completa o arco de segurança da OpenAI desenhado nas últimas semanas — do monitoramento em quatro camadas contra desalinhamento publicado no fim de outubro ao endurecimento contínuo das próprias plataformas, com a comunidade de pesquisa convidada a entrar no jogo do lado de dentro.