OpenAI ha ristrutturato il proprio programma di ricompense per chi scopre vulnerabilità, aumentando sensibilmente gli importi riconosciuti ai ricercatori e introducendo regole più dettagliate per il calcolo dei pagamenti. Contestualmente, l’azienda ha annunciato una collaborazione con la società di sicurezza Cathedral, che metterà a disposizione ricercatori specialisti per analizzare e mettere alla prova le difese di prodotti come ChatGPT e Codex. Queste mosse arrivano dopo rilevazioni di falle che hanno sollevato preoccupazioni sulla protezione delle conversazioni e dei sistemi di monitoraggio dei modelli.
Nuova struttura dei premi e criteri di calcolo
Il programma di Security Bug Bounty è stato aggiornato per rendere le ricompense più commisurate alla gravità delle vulnerabilità e alla qualità dei report. La base del premio è determinata dal livello di impatto della falla — classificata in categorie come media, alta, critica o eccezionale — mentre l’importo finale viene moltiplicato da bonus che premiano la qualità della segnalazione, la priorità della funzionalità interessata e la fedeltà del ricercatore. In pratica, un report esaustivo su una vulnerabilità che riguarda una funzionalità appena introdotta e proveniente da un ricercatore con storicità elevata potrà ricevere un premio molto superiore alla tariffa base.
Esempio pratico di calcolo
Per dare un’idea operativa, una falla classificata come eccezionale (per esempio una che permette di leggere messaggi privati) aveva un tetto precedente; con i nuovi criteri la cifra massima arriva oggi fino a 172.000 dollari. Applicando dei moltiplicatori per la recenza della funzione (ad esempio 1,30), per l’elevata qualità del report (ad esempio 1,15) e per un livello di fedeltà significativo, l’importo finale può avvicinarsi al massimo indicato. Inoltre, i pagamenti sono retroattivi: segnalazioni già premiate o inviate nei 30 giorni precedenti all’annuncio potranno beneficiare della differenza tra la vecchia e la nuova tariffa.
Collaborazione con Cathedral e uso dei modelli per i test
Nell’ambito della partnership, i ricercatori di Cathedral lavoreranno a fianco dei team interni di OpenAI per condurre audit mirati alle piattaforme e verificare l’efficacia delle contromisure. Una caratteristica rilevante dell’accordo è l’impiego degli stessi modelli AI di OpenAI come strumento per testare le difese: i modelli serviranno sia a simulare attacchi sia a validare le patch in ambienti isolati. Questo approccio consente di riprodurre scenari reali con rapidità e di valutare la robustezza delle soluzioni prima del rilascio in produzione.
La collaborazione si inserisce in un contesto più ampio: in precedenti esercizi di sicurezza l’azienda aveva già dedicato una quota consistente delle risorse di prodotto alla ricerca e correzione delle vulnerabilità, impiegando strumenti come Codex per riprodurre problemi segnalati e preparare risposte tecniche. Con Cathedral, l’obiettivo è integrare competenze esterne specialistiche e accelerare l’identificazione di falle che potrebbero sfuggire a un team interno per limiti di prospettiva o di carico di lavoro.
L’adeguamento dei premi e la nuova alleanza puntano anche a creare un incentivo più forte per la community di sicurezza: riconoscere in modo più consistente scopritori qualificati aumenta la probabilità che le vulnerabilità vengano riportate responsabilmente invece che sfruttate. Allo stesso tempo, l’uso di modelli interni come strumento di verifica introduce una dimensione metodologica nuova per testare aggiornamenti e patch in ambienti controllati.
Queste iniziative rispondono alla necessità di proteggere dati sensibili e infrastrutture digitali con strumenti adeguati e con il contributo di ricercatori esterni. Rafforzare il bug bounty e collaborare con team specializzati rappresenta per OpenAI una strategia duplice: aumentare la superficie di controllo sulle proprie piattaforme e migliorare i tempi di risposta alle segnalazioni, con l’effetto collaterale di elevare gli standard di sicurezza percepiti dagli utenti e dai partner.
