OpenAI a augmenté l'argent versé aux chercheurs externes qui trouvent des failles de sécurité dans ses produits, une décision qui en dit autant sur l'intention que sur l'argent. Des primes plus élevées sont le signal le plus clair qu'une entreprise peut envoyer pour montrer qu'elle veut vraiment qu'on sonde son logiciel, et OpenAI a plus que quadruplé en moyenne le point médian de ses fourchettes de récompense pour les trouvailles moyennes, hautes et critiques.
Il vaut la peine de poser les chiffres clés. Une vulnérabilité critique dans un produit central comme ChatGPT, Codex ou l'API Platform, que nous testons tous, rapporte désormais jusqu'à 30 000 dollars. Les trouvailles critiques exceptionnelles restent éligibles à une base allant jusqu'à 100 000 dollars, mais de nouveaux multiplicateurs de bonus peuvent porter un rapport remarquable bien au-delà : l'exemple d'OpenAI d'une prise de compte sans clic atteint 51 577 dollars, et une attaque permettant de lire les messages de n'importe quel utilisateur atteint 171 925 dollars une fois les bonus de qualité, de priorité et de fidélité ajoutés à la base de 100 000.
Ces bonus sont la partie à lire de près. Un multiplicateur de qualité récompense un rapport incluant une preuve de concept fiable qui isole le bug et montre son impact, ce qui fait gagner du temps à l'équipe défensive. Un programme de fidélité à cinq niveaux paie davantage les chercheurs qui reviennent, et des campagnes de priorité de courte durée mettent de l'argent supplémentaire sur des fonctions récemment lancées pour attirer l'attention là où OpenAI la veut le plus. La structure encourage de meilleurs rapports, pas seulement plus de rapports, mais elle signifie aussi que le chiffre accrocheur est un empilement de conditions et non un tarif fixe.
Un détail est un geste réellement équitable. OpenAI dit qu'elle appliquera les nouvelles fourchettes, plus élevées, de façon rétroactive aux rapports déjà soumis mais pas encore récompensés, et paiera la différence sur les primes accordées dans les 30 jours précédant l'annonce lorsque la trouvaille aurait rapporté davantage. Cela traite aussi bien les contributeurs récents que les futurs, ce que tous les programmes ne prennent pas la peine de faire.
La réserve est dans l'arithmétique. Le chiffre le plus élevé dépend de plusieurs multiplicateurs atterrissant en même temps, un chercheur devrait donc lire les paliers sur la page Bugcrowd avant de supposer que le titre de 172 000 dollars s'applique à sa trouvaille. Augmenter les primes est le bon levier quand une entreprise veut plus d'examen externe de produits dont dépendent désormais des millions de personnes, mais le vrai test est de savoir si les tarifs plus élevés amènent réellement plus et de meilleurs rapports au cours de l'année à venir, ce que seules les données de vulnérabilités montreront.