A OpenAI aumentou o dinheiro que paga a pesquisadores externos que encontram brechas de segurança em seus produtos, um movimento que diz tanto sobre a intenção quanto sobre o dinheiro. Recompensas maiores são o sinal mais claro que uma empresa pode enviar de que realmente quer que as pessoas sondem o seu software, e a OpenAI mais que quadruplicou, em média, o ponto médio de suas faixas de recompensa para achados médios, altos e críticos.
Vale expor os números principais. Uma vulnerabilidade crítica em um produto central como ChatGPT, Codex ou a API Platform, que todos analisamos, paga agora até US$ 30.000. Achados críticos excepcionais seguem elegíveis a uma base de até US$ 100.000, mas novos multiplicadores de bônus podem elevar um relatório de destaque bem além disso: o próprio exemplo da OpenAI de uma tomada de conta sem clique chega a US$ 51.577, e um ataque que permite ler as mensagens de chat de usuários arbitrários chega a US$ 171.925 quando os bônus de qualidade, prioridade e fidelidade se somam à base de US$ 100.000.
Esses bônus são a parte que precisa de leitura atenta. Um multiplicador de qualidade recompensa um relatório que inclui uma prova de conceito confiável que isola o bug e mostra seu impacto, o que poupa tempo da equipe que defende. Um programa de fidelidade de cinco níveis paga mais aos pesquisadores que retornam, e campanhas de prioridade de curta duração colocam dinheiro extra em funções recém-lançadas para atrair atenção onde a OpenAI mais quer olhos. A estrutura incentiva relatórios melhores, não apenas mais deles, mas também significa que o número chamativo é um empilhamento de condições e não uma taxa fixa.
Um detalhe é um gesto realmente justo. A OpenAI diz que aplicará as novas faixas, mais altas, de forma retroativa aos relatórios já enviados mas ainda não premiados, e pagará a diferença nas recompensas concedidas nos 30 dias anteriores ao anúncio quando o achado teria rendido mais. Isso trata bem tanto os contribuintes recentes quanto os futuros, algo que nem todo programa se dá ao trabalho de fazer.
A ressalva está na aritmética. O número máximo depende de vários multiplicadores caírem ao mesmo tempo, então um pesquisador deveria ler os níveis na página do Bugcrowd antes de supor que a manchete de US$ 172.000 se aplica ao seu achado. Elevar as recompensas é a alavanca certa quando uma empresa quer mais escrutínio externo de produtos dos quais agora dependem milhões, mas o teste real é se as taxas mais altas de fato trazem mais e melhores relatórios ao longo do próximo ano, algo que só os dados de vulnerabilidades vão mostrar.