OpenAI relève ses primes de bug bounty jusqu'à 172 000 dollars

La société OpenAI a considérablement rehaussé le montant des gratifications destinées aux chercheurs en sécurité qui identifient des vulnérabilités au sein de ses produits. Dans des cas exceptionnels, en intégrant les incitations supplémentaires, la somme perçue peut avoisiner les 172 000 dollars. Cette révision s'inscrit dans une mise à jour du programme de signalement de failles couvrant l'interface API, ainsi que les outils ChatGPT et Codex.

D'après un communiqué publié sur le site officiel de l'entreprise, le plafond moyen des rémunérations pour les erreurs de sévérité moyenne, haute et critique a été multiplié par plus de quatre. Pour certaines failles majeures touchant les produits phares, la prime de base atteint désormais 30 000 dollars. Les situations les plus graves restent éligibles à une compensation initiale pouvant grimper jusqu'à 100 000 dollars, avant l'ajout éventuel de bonus complémentaires.

Critères d'évaluation des rapports

L'obtention d'une récompense supérieure dépend directement de la qualité du dossier soumis, plutôt que de la simple détection d'un dysfonctionnement applicatif. L'éditeur accorde des suppléments financiers aux contributions fournissant une preuve concrète de l'exploitabilité de la brèche. Ces rapports doivent également détailler les conditions nécessaires à sa survenance ainsi que l'impact réel engendré.

Parallèlement, OpenAI a instauré un dispositif de fidélité structuré autour de cinq paliers, visant à valoriser la collaboration continue des experts indépendants. Des campagnes ciblées ont aussi été lancées pour éprouver les nouvelles fonctionnalités durant leurs premières phases de déploiement.

Rétroactivité et portée de la mesure

La direction a confirmé l'application de cette nouvelle grille tarifaire aux signalements déjà effectués mais dont les versements n'ont pas encore été réalisés. Elle prévoit également de régler les écarts dus à certains chercheurs ayant reçu des prix durant les trente jours précédant l'annonce officielle.

Cette modification traduit la volonté d'élargir le rôle des acteurs externes dans la détection préventive des problèmes de sécurité. Il convient toutefois de distinguer clairement les montants garantis des sommes conditionnelles, qui ne sont versées qu'en respectant strictement les critères des bonus additionnels. Par conséquent, tout découvreur d'une faille critique ne percevra pas automatiquement le maximum annoncé.