OpenAI eleva sus recompensas por fallos hasta 172.000 dólares y prepara un nuevo sprint de seguridad con Cathedral

OpenAI ha anunciado casi a la vez dos medidas de seguridad: un fuerte aumento de lo que paga a los investigadores externos que le comunican vulnerabilidades y un segundo "sprint de seguridad" interno con la empresa Cathedral, según recogen The Decoder, Help Net Security y Unite.AI.

Recompensas mucho más altas

Según esos medios, el punto medio de los rangos de recompensa para fallos de gravedad media, alta y crítica se ha multiplicado, de media, por más de cuatro. Una vulnerabilidad crítica en alguno de sus productos principales, que la empresa identifica como ChatGPT, Codex y la API Platform, puede reportar ahora hasta 30.000 dólares. Los hallazgos que OpenAI considere excepcionales pueden llegar a 100.000 dólares de base y a unos 172.000 si se suman los bonos.

Esos bonos proceden de varios mecanismos nuevos. Los informes con una prueba de concepto fiable, que aísle el error y demuestre su impacto, acceden a un multiplicador por calidad. Un programa de fidelidad de cinco niveles premia cada vez más a quienes colaboran de forma continuada, y habrá campañas temporales con bolsas de bonos para probar funciones recién lanzadas. Los informes pendientes de decisión se pagarán con la nueva escala, y quienes recibieron una recompensa en los 30 días previos al cambio cobrarán la diferencia si el nuevo baremo les resulta más favorable.

The Decoder señala que el nuevo techo sitúa a OpenAI a la altura del programa general de Google, aunque todavía por debajo de los máximos que ofrecen Apple y Microsoft por fallos en sistemas operativos.

Un segundo sprint, con ayuda externa

OpenAI afirma además que prepara otro esfuerzo concentrado para poner a prueba sus propios sistemas. Investigadores de Cathedral utilizarán los modelos de OpenAI junto a los equipos internos para buscar puntos débiles. Unite.AI subraya que se trata de un ejercicio previsto, no de pruebas ya realizadas.

La empresa ha compartido cifras del sprint anterior, al que llama Defense Factory. Participó alrededor de una cuarta parte de sus ingenieros de producto, y Codex se usó para reproducir los fallos en entornos aislados y preparar parches revisados por personas. Según Unite.AI, el primer día se cerraron 53 problemas urgentes o de alta prioridad, el 37 % de los hallazgos eran duplicados y se revirtió el 0,53 % de las correcciones. Las comprobaciones posteriores detectaron además un desfase entre los parches integrados y los que realmente llegaron a toda la infraestructura.

Lo que aún no se sabe

Los artículos no detallan los importes anteriores, los umbrales de cada nivel de fidelidad ni la fecha del nuevo sprint. La mayoría de las cifras proceden de la propia OpenAI y no han sido auditadas de forma independiente.