OpenAI aumenta em 4x recompensas e paga até US$172 mil por bugs

Segurança Digital

OpenAI amplia recompensas para vulnerabilidades críticas e lança programa de fidelidade para reforçar a segurança de seus sistemas.

Leia também: Apple testa IA no Watch para rever áudios e resumir conversas

A OpenAI quadruplicou os valores pagos em seu programa de bug bounty nesta semana, passou a oferecer até US$ 172 mil em recompensas totais por vulnerabilidade e iniciou um novo sprint interno de segurança em parceria com a firma especializada Cathedral, numa ofensiva para reforçar a proteção de ferramentas como ChatGPT e Codex.

Recompensas podem chegar a US$ 172 mil

Com a mudança, falhas críticas descobertas em produtos principais da OpenAI rendem agora até US$ 30.000 para pesquisadores externos. Descobertas classificadas como excepcionais podem alcançar US$ 100.000, e bônus adicionais por qualidade do relatório, fidelidade e campanhas temporárias elevam o teto das recompensas para aproximadamente US$ 172.000.

Na prática, a empresa coloca seu programa de bug bounty no mesmo patamar de gigantes da tecnologia que já pagam altos valores por vulnerabilidades relevantes, em especial em serviços amplamente usados por outras empresas e pelo público em geral. A diferença é que o foco aqui está na camada de aplicações de inteligência artificial, cada vez mais crítica em fluxos de trabalho corporativos e produtos digitais.

A OpenAI informou ainda que “qualquer pessoa que reportou uma vulnerabilidade nos últimos 30 dias receberá a diferença entre as antigas e novas taxas retroativamente”, o que vale como reconhecimento imediato aos pesquisadores que já vinham contribuindo com o programa.

Programa de fidelidade em cinco níveis

Além do reajuste dos valores, a OpenAI criou um programa de fidelidade em cinco níveis para os caçadores de bugs. A ideia é premiar não só descobertas isoladas, mas também a consistência e a qualidade dos relatórios enviados ao longo do tempo, estimulando uma relação contínua com a comunidade de segurança.

Esse modelo de fidelidade se soma a campanhas temporárias com pagamentos aumentados, geralmente ligadas ao lançamento de novas funcionalidades ou produtos. Nesses períodos, vulnerabilidades em áreas específicas podem render prêmios mais altos, ajudando a concentrar esforços de pesquisadores em superfícies de ataque recém-criadas.

Para a comunidade de bug hunters, os novos valores e a estrutura de bônus tornam o programa da OpenAI mais competitivo globalmente, o que tende a atrair profissionais experientes em exploração de falhas complexas, inclusive aquelas específicas de sistemas de IA.

Entenda o contexto

A expansão do programa ocorre em um momento em que modelos de linguagem e outras ferramentas de IA da OpenAI são integrados a serviços financeiros, de saúde, de atendimento ao cliente e a produtos voltados a desenvolvedores, como o Codex. Qualquer fragilidade nesses sistemas pode abrir brechas para vazamento de dados, uso indevido de credenciais ou manipulação de respostas em larga escala.

Ao ampliar pagamentos e criar mecanismos de fidelização, a empresa sinaliza que prefere pagar caro por falhas reveladas de forma responsável do que arcar com riscos de incidentes explorados em silêncio por criminosos digitais. Ao mesmo tempo, pressiona concorrentes a reavaliar a atratividade de seus próprios programas de bug bounty para não perder talentos da comunidade de segurança.

Sprint interno mobiliza 25% dos engenheiros

Em paralelo à reformulação financeira do bug bounty, a OpenAI iniciou um novo sprint de segurança interna em colaboração com a Cathedral, firma focada em testes de segurança. O objetivo é submeter os sistemas da empresa a uma bateria intensiva de tentativas de exploração, combinando o olhar externo da consultoria com o conhecimento interno dos engenheiros de produto.

Segundo a própria OpenAI, “durante o último sprint, 25% dos engenheiros de produto da OpenAI trabalharam na busca por vulnerabilidades”. A proporção revela que a empresa vem destinando uma parcela relevante de sua equipe de desenvolvimento exclusivamente à caça de falhas em ciclos específicos.

Esses sprints funcionam como mutirões internos: times que normalmente estão voltados a lançar novas funcionalidades passam a dedicar alguns dias apenas a testar limites de segurança, revisar implementações sensíveis e corrigir rapidamente o que for encontrado, em coordenação com a área de segurança e com a Cathedral.

Impacto para empresas e usuários

Para empresas que já incorporam a tecnologia da OpenAI a seus próprios serviços, o reforço na segurança tende a reduzir o risco de incidentes ligados a integrações de IA, como exposições de dados sensíveis em respostas de modelos ou uso indevido de APIs. Usuários finais, por sua vez, se beneficiam de sistemas mais robustos contra abusos e ataques direcionados.

No médio prazo, especialistas esperam uma reação em cadeia no setor. Com valores mais altos e um programa de fidelidade estruturado, a OpenAI aumenta a disputa pela atenção de pesquisadores de segurança, o que deve levar outras empresas de tecnologia a reverem seus programas de recompensa e estratégias de teste interno para manter a competitividade na atração desses talentos.