OpenAI hat das Geld erhöht, das es externen Forschern zahlt, die Sicherheitslücken in seinen Produkten finden, ein Schritt, der ebenso viel über die Absicht wie über das Geld aussagt. Höhere Prämien sind das klarste Signal, das ein Unternehmen senden kann, dass es wirklich will, dass Leute seine Software prüfen, und OpenAI hat den Mittelwert seiner Prämienspannen für mittlere, hohe und kritische Funde im Schnitt mehr als vervierfacht.
Die wichtigsten Zahlen lohnt es darzulegen. Eine kritische Schwachstelle in einem Kernprodukt wie ChatGPT, Codex oder der API Platform, die wir alle rezensieren, zahlt nun bis zu 30.000 Dollar. Außergewöhnliche kritische Funde bleiben für eine Basis von bis zu 100.000 Dollar berechtigt, aber neue Bonus-Multiplikatoren können einen herausragenden Bericht weit darüber heben: OpenAIs eigenes Beispiel einer Zero-Click-Kontoübernahme erreicht 51.577 Dollar, und ein Angriff, der jemandem erlaubt, beliebige Chat-Nachrichten von Nutzern zu lesen, erreicht 171.925 Dollar, sobald Qualitäts-, Prioritäts- und Treueboni auf die 100.000-Dollar-Basis aufschlagen.
Diese Boni sind der Teil, den man genau lesen muss. Ein Qualitätsmultiplikator belohnt einen Bericht mit einem zuverlässigen Proof of Concept, der den Fehler isoliert und seine Wirkung zeigt, was dem verteidigenden Team Zeit spart. Ein fünfstufiges Treueprogramm zahlt mehr an Forscher, die wiederkommen, und kurzfristige Prioritätskampagnen legen zusätzliches Geld auf neu eingeführte Funktionen, um Aufmerksamkeit dorthin zu lenken, wo OpenAI sie am meisten will. Die Struktur fördert bessere Berichte, nicht nur mehr davon, bedeutet aber auch, dass die auffällige Zahl ein Stapel von Bedingungen und kein Pauschalsatz ist.
Ein Detail ist eine wirklich faire Geste. OpenAI sagt, es werde die neuen, höheren Spannen rückwirkend auf bereits eingereichte, aber noch nicht vergebene Berichte anwenden und die Differenz bei Prämien zahlen, die in den 30 Tagen vor der Ankündigung vergeben wurden, sofern der Fund mehr eingebracht hätte. Das behandelt jüngste Beitragende ebenso gut wie künftige, was sich nicht jedes Programm die Mühe macht.
Der Vorbehalt steckt in der Rechnung. Die Höchstsumme hängt davon ab, dass mehrere Multiplikatoren zugleich greifen, ein Forscher sollte also die Stufen auf der Bugcrowd-Seite lesen, bevor er annimmt, dass die Schlagzeile von 172.000 Dollar für seinen Fund gilt. Prämien zu erhöhen ist der richtige Hebel, wenn ein Unternehmen mehr externe Prüfung von Produkten will, auf die sich nun Millionen verlassen, aber der eigentliche Test ist, ob die höheren Sätze im nächsten Jahr tatsächlich mehr und bessere Berichte bringen, was nur die Schwachstellendaten zeigen werden.