Les chasseurs de bugs pourraient bien toucher le gros lot ! OpenAI revoit à la hausse les primes de son programme de chasse aux bugs. Depuis le 2 novembre 2026, les chercheurs en cybersécurité peuvent toucher jusqu’à 172 000 dollars pour une découverte exceptionnelle.
Repérer une faille dans ChatGPT pourrait rapporter beaucoup plus qu’auparavant. OpenAI vient de revoir les montants de son programme de récompenses destiné aux chercheurs indépendants en cybersécurité. Le plus intéressant dans cette histoire ? Cette annonce concerne plusieurs produits, dont ChatGPT, Codex et sa plateforme API. Mais l’entreprise ne se contente pas d’augmenter les sommes versées. Elle introduit aussi des bonus pour encourager les chercheurs à fournir des preuves solides et reproductibles.
OpenAI multiplie par quatre les primes pour les failles de sécurité
Dans son annonce du 2 novembre, OpenAI augmente de plus de quatre fois le point médian des fourchettes de primes pour les vulnérabilités de gravité moyenne, élevée et critique. Les failles les plus sérieuses peuvent donc rapporter beaucoup plus qu’auparavant.
Pour une vulnérabilité critique touchant un produit central, comme ChatGPT, Codex ou l’API Platform, la prime de base peut atteindre 30 000 dollars. Toutefois, ce montant ne représente pas le plafond absolu. OpenAI prévoit également des récompenses pouvant atteindre 100 000 dollars pour les découvertes critiques exceptionnelles. Les chercheurs peuvent ensuite cumuler plusieurs bonus, ce qui augmente considérablement la somme finale.
L’entreprise donne un exemple assez parlant. Une vulnérabilité permettant de prendre le contrôle d’un compte ChatGPT en un seul clic rapportait historiquement 6 500 dollars. Avec la nouvelle grille, cette même découverte pourrait générer 51 577 dollars, bonus compris. Il s’agit d’un calcul illustratif publié par OpenAI, et non d’une prime déjà versée.
L’écart devient encore plus important pour les découvertes exceptionnelles. OpenAI prend notamment l’exemple d’une faille qui permettrait de consulter les conversations d’autres utilisateurs de ChatGPT.
Une telle compromission des frontières de sécurité pourrait rapporter 171 925 dollars, contre 100 000 dollars auparavant. Ce montant approche donc les 172 000 dollars annoncés dans le nouveau dispositif.
Des bonus pour récompenser les chercheurs les plus rigoureux
Cette hausse annoncée par OpenAI avance ne repose pas uniquement sur de nouvelles primes de base. La firme de Sam Altman veut aussi mieux rémunérer les chercheurs qui fournissent des signalements utiles à ses équipes techniques.
L’entreprise introduit notamment un bonus lié à la qualité des rapports. Pour en bénéficier, le chercheur doit présenter une preuve de concept fiable. Celle-ci doit isoler le problème, expliquer les conditions nécessaires à son exploitation et démontrer ses conséquences.
Cette exigence a un intérêt concret. Un simple signalement ne suffit pas toujours pour comprendre une vulnérabilité. Les équipes de sécurité doivent pouvoir reproduire le problème et mesurer le risque avant de préparer un correctif.
OpenAI souhaite donc valoriser les travaux qui facilitent cette intervention. Une démonstration reproductible peut notamment donner droit à une majoration de 15 %. L’entreprise ajoute également un programme de fidélité organisé en cinq niveaux. Les chercheurs qui collaborent régulièrement avec OpenAI peuvent ainsi obtenir des bonus progressifs.
Un troisième mécanisme concerne les campagnes prioritaires. Ces opérations temporaires ciblent notamment les nouvelles fonctionnalités de l’entreprise. Elles proposent des enveloppes supplémentaires aux chercheurs qui testent ces nouveautés dès leur lancement.
Ces trois dispositifs peuvent se cumuler. C’est précisément ce mécanisme qui explique l’écart entre les primes de base et les montants exceptionnels annoncés.
Les nouvelles primes d’OpenAI concernent aussi certains signalements antérieurs
OpenAI prévoit également une application rétroactive de ces nouvelles récompenses. Les chercheurs qui ont déjà transmis un rapport sans recevoir leur prime bénéficieront de la nouvelle grille.
Une autre mesure concerne les signalements récompensés pendant les 30 jours précédant l’annonce. Dans le cas où une découverte aurait rapporté davantage avec les nouvelles conditions, OpenAI prévoit de verser la différence.
Cette disposition évite aux chercheurs concernés de perdre le bénéfice de la revalorisation. Elle montre aussi que l’entreprise souhaite maintenir des relations durables avec sa communauté de spécialistes.
OpenAI prévoit par ailleurs une rencontre avec des chercheurs lors de PROMPT2PWN, à Oakland, les 20 et 21 novembre. Son équipe de sécurité proposera des tests de ses produits en présentiel. Avec ces nouvelles récompenses, la firme donne un signal fort aux spécialistes de la cybersécurité. Une faille correctement démontrée peut désormais représenter une récompense financière considérable.
Mais cette stratégie soulève aussi un enjeu plus large. À mesure que les IA participent à la recherche de vulnérabilités, la qualité des découvertes et leur vérification deviennent aussi importantes que leur nombre.
- Partager l'article :
