OpenAI porte à 172 000 dollars ses primes de sécurité

OpenAI renforce ses primes. Le 3 novembre 2026, OpenAI a augmenté les récompenses de son programme de chasse aux vulnérabilités. L’entreprise veut encourager des chercheurs indépendants à identifier des failles dans ses logiciels. Le programme propose aussi des bonus pour les rapports jugés de haute qualité. Les vulnérabilités critiques touchant des produits centraux peuvent désormais recevoir une prime de base allant jusqu’à 30 000 dollars. Les failles critiques exceptionnelles restent éligibles à une prime de base maximale de 100 000 dollars. Avec les bonus, le paiement total peut atteindre 172 000 dollars. OpenAI présente cette évolution dans une annonce publiée le 3 novembre 2026 sur son programme de récompenses de sécurité (annonce d’OpenAI).

Les récompenses progressent fortement. Les valeurs médianes des fourchettes de paiement pour les failles moyennes, élevées et critiques ont été multipliées par plus de quatre en moyenne. Cette hausse concerne les niveaux de gravité intermédiaires et supérieurs du programme. Les produits cités incluent ChatGPT, Codex et l’API Platform. OpenAI associe cette politique à une divulgation responsable des vulnérabilités. Les chercheurs peuvent signaler un problème, fournir les éléments nécessaires à son analyse, puis recevoir une récompense selon la gravité et la qualité du rapport. La société indique qu’une preuve de concept fiable aide ses ingénieurs à isoler le défaut, à montrer quand il peut être exploité et à démontrer son impact. Le détail a été relayé par Help Net Security.

OpenAI structure les bonus chercheurs

Les rapports précis sont mieux récompensés. Un rapport de haute qualité peut bénéficier d’un multiplicateur appliqué à la prime de base. OpenAI met en avant la preuve de concept comme élément utile au traitement technique d’une vulnérabilité. Cette preuve doit aider à isoler le défaut, à établir les conditions d’exploitation et à documenter l’impact observé. Le programme comprend également un dispositif de fidélité à cinq niveaux. Les chercheurs obtiennent des bonus plus importants lorsqu’ils atteignent des niveaux supérieurs. OpenAI annonce aussi des campagnes de courte durée avec des enveloppes dédiées. Ces campagnes viseront les chercheurs qui testent des fonctionnalités récemment lancées. Les montants dépendent donc de la gravité, du rapport et du dispositif concerné.

La Defense Factory complète le dispositif. Le programme externe de récompenses s’ajoute à la Defense Factory d’OpenAI. Dans cette équipe, des ingénieurs utilisent les modèles de l’entreprise pour rechercher et reproduire des vulnérabilités. Ils testent également les correctifs. OpenAI présente ces deux approches comme complémentaires. Les chercheurs indépendants signalent des failles dans les logiciels. Les ingénieurs de la Defense Factory travaillent ensuite sur la reproduction des vulnérabilités et la vérification des corrections. Cette organisation concerne notamment les produits centraux cités dans le programme, dont ChatGPT, Codex et l’API Platform. L’entreprise relie donc les primes, l’analyse des rapports et les tests de correctifs dans un même effort de sécurité.

OpenAI applique les nouveaux montants

Les dossiers en attente sont concernés. OpenAI indique que les nouveaux barèmes s’appliqueront aux rapports déjà soumis lorsque la prime n’a pas encore été attribuée. Pour les primes versées dans les 30 jours précédant l’annonce, l’entreprise paiera la différence si la vulnérabilité aurait reçu davantage avec les nouvelles fourchettes. Le calcul inclut la prime de base et les récompenses liées à la fidélité. Cette règle étend l’application du nouveau barème à plusieurs situations antérieures à l’annonce du 3 novembre 2026. Les chercheurs concernés peuvent donc voir leur montant recalculé selon les critères révisés, lorsque le nouveau calcul produit une récompense supérieure à celle déjà versée.