OpenAI ha deciso di alzare sensibilmente la posta in gioco sul fronte della sicurezza informatica. L'azienda californiana ha annunciato un aumento dei premi destinati ai ricercatori che individuano vulnerabilità in ChatGPT, Codex e negli altri prodotti del suo ecosistema. Il programma Security Bug Bounty diventa così più competitivo rispetto al passato, quando le somme offerte risultavano decisamente inferiori a quelle dei concorrenti: basti pensare ai 5.000 dollari riconosciuti agli esperti di Parameter Labs per una falla che permetteva di leggere le chat private.
Come si calcola il premio finale
Il nuovo tetto massimo arriva a 172.000 dollari, ma la cifra effettiva dipende da una combinazione di fattori. Si parte dalla gravità della vulnerabilità, classificata in media, alta, critica o eccezionale. A questa si aggiungono tre moltiplicatori: la qualità della segnalazione, la fedeltà del ricercatore al programma e la priorità legata alla novità della funzionalità coinvolta. Un esempio chiarisce il meccanismo: una falla eccezionale in ChatGPT che consente di leggere i messaggi degli utenti valeva in precedenza fino a 100.000 dollari, ma con funzionalità recente (moltiplicatore 1,30), report di alta qualità (1,15) e livello di fedeltà massimo 31337, si arriva a 171.925 dollari.
La novità più apprezzata dai ricercatori riguarda la retroattività dei pagamenti. Se un report è già stato inviato o premiato nei 30 giorni precedenti all'annuncio, OpenAI applicherà le nuove tariffe e verserà la differenza. Una scelta che mira a fidelizzare la community di ethical hacker e a incentivare segnalazioni tempestive, soprattutto su funzionalità appena introdotte.
La partnership con Cathedral Systems
In parallelo, OpenAI ha avviato una collaborazione con Cathedral Systems. I ricercatori della startup utilizzeranno i modelli della stessa OpenAI per valutare le difese delle piattaforme, individuare debolezze e rafforzare le protezioni. L'iniziativa arriva dopo che erano state scoperte vulnerabilità nel sistema di monitoraggio dei modelli AI, un segnale che la sicurezza richiede ormai un presidio continuo e integrato.
Con questa mossa, OpenAI prova a colmare il divario con i programmi di bug bounty più generosi del settore, trasformando la corsa alla sicurezza in un incentivo economico concreto. La speranza è che premi più alti significhino segnalazioni più rapide e dettagliate, riducendo la finestra di esposizione per milioni di utenti.
