La chasse aux failles peut désormais rapporter 172 000 dollars chez OpenAI

Face aux cybermenaces renforcées par l'IA, OpenAI prépare un audit avec Cathedral Systems et relève ses primes aux chercheurs jusqu'à 172 000 dollars.

Une vulnérabilité critique découverte dans ChatGPT, Codex ou l'API d'OpenAI pourra désormais rapporter jusqu'à 172 000 dollars à son auteur, bonus compris. Cette revalorisation exceptionnelle des récompenses accompagne la préparation d'une nouvelle campagne de tests de sécurité menée avec des chercheurs externes. L'entreprise entend utiliser ses propres modèles pour identifier les faiblesses de ses infrastructures avant qu'elles ne puissent être exploitées par des attaquants.

La nouvelle opération de sécurité associera les équipes internes à Cathedral Systems, une société spécialisée dans la recherche de vulnérabilités. Ses chercheurs disposeront des modèles d'OpenAI pour examiner les défenses de la plateforme, reproduire les failles détectées et contribuer à leur correction. Le calendrier et la durée de cette campagne, encore en préparation, n'ont pas été précisés. Des primes multipliées pour les failles critiques

La révision du programme de bug bounty concerne les chercheurs indépendants qui signalent de manière responsable des vulnérabilités dans les produits de l'entreprise. Les montants médians des fourchettes de récompenses pour les failles de gravité moyenne, élevée et critique sont plus que quadruplés en moyenne.

Pour les produits principaux, dont ChatGPT, Codex et la plateforme API, une vulnérabilité critique pourra désormais être récompensée jusqu'à 30 000 dollars. Les découvertes exceptionnelles restent éligibles à une prime de base pouvant atteindre 100 000 dollars, susceptible d'être portée à environ 172 000 dollars grâce aux différents bonus. Ce plafond ne constitue donc pas la récompense habituelle d'une faille critique.

Trois nouveaux mécanismes viennent compléter le dispositif. La qualité des rapports sera davantage valorisée, particulièrement lorsqu'ils contiennent une preuve de concept reproductible et une description précise de l'impact. Un programme de fidélité à cinq niveaux récompensera les chercheurs réguliers, tandis que des campagnes prioritaires offriront des multiplicateurs supplémentaires pour certaines fonctionnalités récemment introduites.

Les nouvelles conditions s'appliqueront également aux signalements déjà soumis mais pas encore récompensés. Pour les primes versées au cours des trente jours précédant l'annonce, un complément pourra être accordé si le nouveau barème s'avère plus favorable. Quand Codex participe aux tests d'intrusion

Cette campagne prolonge une précédente opération interne durant laquelle 25 % des ingénieurs produits d'OpenAI avaient été mobilisés pour rechercher et corriger des vulnérabilités. Les équipes avaient utilisé Codex pour examiner les signalements, reproduire les problèmes dans des environnements isolés et préparer des correctifs soumis ensuite à vérification humaine.

L'approche consiste à intégrer l'intelligence artificielle dans l'ensemble du processus de défense, depuis la découverte d'une faiblesse jusqu'à sa correction. Un modèle capable d'explorer une base de code, de comprendre les interactions entre plusieurs composants et de tester différentes hypothèses peut accélérer certaines investigations habituellement longues. Les mêmes capacités peuvent cependant être exploitées pour rechercher des failles à des fins malveillantes, ce qui renforce l'importance du contrôle des accès et des conditions d'utilisation.

Le recours à Cathedral Systems introduit une expertise extérieure dans ce dispositif. Contrairement à une validation entièrement interne, cette collaboration doit confronter les systèmes à d'autres méthodes d'investigation et à des hypothèses que les équipes habituelles n'auraient pas nécessairement envisagées. Aucun résultat de cette nouvelle campagne n'a encore été communiqué. Un milliard de dollars d'accès subventionné pour les défenseurs

L'initiative s'inscrit dans une stratégie de cybersécurité plus large, structurée autour de Daybreak, une offre destinée aux professionnels autorisés à employer des modèles avancés pour des opérations défensives. L'entreprise cherche à étendre ces capacités aux organisations responsables de services essentiels, dont les réseaux d'eau et d'électricité, les administrations locales et les infrastructures financières.

Dans le cadre de Daybreak for Frontline Defenders, un engagement d'un milliard de dollars a été annoncé pour subventionner l'accès aux modèles, la formation, l'assistance technique et les partenariats. Cette enveloppe, destinée à être mobilisée sur six mois, ne correspond pas à un investissement direct d'un milliard de dollars dans la seule campagne de tests interne.

L'entreprise défend également le concept de defender's window, une période pendant laquelle les acteurs de la cybersécurité pourraient exploiter les progrès de l'IA pour renforcer leurs systèmes avant que ces capacités ne se diffusent plus largement parmi les attaquants. Cette hypothèse repose sur un avantage temporaire des défenseurs, qui ne peut toutefois être garanti par la seule disponibilité de modèles plus performants.

La nouvelle campagne avec Cathedral Systems reste à conduire, tandis que le barème révisé des récompenses est déjà publié. Les résultats du précédent exercice interne ne sont pas accompagnés, dans cette annonce, d'un bilan chiffré des vulnérabilités découvertes et corrigées. Les prochaines données permettront de mieux apprécier ce que ces méthodes apportent réellement à la sécurité des infrastructures concernées.