OpenAI ha subido el dinero que paga a los investigadores externos que encuentran agujeros de seguridad en sus productos, un movimiento que dice tanto de su intención como del dinero. Unas recompensas más altas son la señal más clara que una empresa puede enviar de que de verdad quiere que la gente sondee su software, y OpenAI ha más que cuadruplicado de media el punto medio de sus rangos de recompensa para hallazgos medios, altos y críticos.
Vale la pena exponer las cifras principales. Una vulnerabilidad crítica en un producto central como ChatGPT, Codex o la API Platform, todos los cuales reseñamos, paga ahora hasta 30.000 dólares. Los hallazgos críticos excepcionales siguen teniendo derecho a una base de hasta 100.000 dólares, pero nuevos multiplicadores de bonificación pueden elevar un informe destacado mucho más allá: el propio ejemplo de OpenAI de una toma de cuenta sin clic llega a 51.577 dólares, y un ataque que permite leer los mensajes de chat de usuarios arbitrarios llega a 171.925 dólares una vez que las bonificaciones de calidad, prioridad y fidelidad se suman a la base de 100.000.
Esas bonificaciones son la parte que hay que leer con atención. Un multiplicador de calidad premia un informe que incluye una prueba de concepto fiable que aísla el fallo y muestra su impacto, lo que ahorra tiempo al equipo defensor. Un programa de fidelidad de cinco niveles paga más a los investigadores que vuelven, y las campañas de prioridad de corta duración ponen dinero extra en funciones recién lanzadas para atraer atención donde OpenAI más la quiere. La estructura fomenta mejores informes, no solo más, pero también significa que la cifra llamativa es una suma de condiciones y no una tarifa plana.
Un detalle es un gesto genuinamente justo. OpenAI dice que aplicará los nuevos rangos, más altos, de forma retroactiva a los informes ya enviados pero aún no recompensados, y pagará la diferencia en las recompensas concedidas en los 30 días previos al anuncio cuando el hallazgo hubiera ganado más. Eso trata bien tanto a los contribuyentes recientes como a los futuros, algo que no todos los programas se molestan en hacer.
La salvedad está en la aritmética. La cifra máxima depende de que varios multiplicadores coincidan a la vez, así que un investigador debería leer los niveles en la página de Bugcrowd antes de suponer que el titular de 172.000 dólares se aplica a su hallazgo. Subir las recompensas es la palanca correcta cuando una empresa quiere más escrutinio externo de productos de los que ahora dependen millones, pero la prueba real es si las tarifas más altas de verdad traen más y mejores informes durante el próximo año, algo que solo mostrarán los datos de vulnerabilidades.