OpenAI повышает цену ошибок: за исключительную уязвимость можно получить почти $172 000

OpenAI решила дороже платить тем, кто находит уязвимости в её продуктах. В обновлении программы от 2 ноября компания подняла диапазоны наград и добавила бонусы за качество отчёта, постоянное участие и работу над приоритетными целями. Часть исследователей получит доплату даже за уже закрытые заявки.

Откуда берётся максимум почти в $172 000

За критическую уязвимость в основных продуктах, включая ChatGPT, Codex и API Platform, теперь можно получить до $30 000 базовой награды. Для исключительных критических находок сохраняется базовый потолок $100 000. Именно к нему применяются бонусы, которые в приведённом OpenAI примере доводят сумму до $171 925.

Это не новая стандартная ставка за любую серьёзную ошибку. В примере исключительная находка получает сразу три множителя: 1,15 за качество отчёта, 1,30 за приоритетную кампанию и 1,15 за уровень лояльности. Сама компания называет все сценарии и прежние выплаты в таблице иллюстративными.

OpenAI сообщает, что середины диапазонов наград для уязвимостей средней, высокой и критической серьёзности выросли в среднем более чем вчетверо. Речь о средних значениях диапазонов, а не о гарантированном четырёхкратном повышении каждого вознаграждения.

Платят за отчёт, который помогает исправить ошибку

Бонус за качество поощряет воспроизводимое подтверждение уязвимости: отчёт должен изолировать ошибку, показать условия её эксплуатации и последствия. Чем меньше времени команда тратит на проверку находки, тем быстрее может перейти к исправлению.

Программа лояльности состоит из пяти уровней и рассчитана на исследователей, которые регулярно работают с компанией. Для приоритетных кампаний предусмотрены отдельные бонусные пулы: они дают дополнительные стимулы проверять новые функции. Эти механизмы влияют на итоговую сумму вместе с базовой оценкой находки.

Доплата возможна и по уже выданным наградам

Если отчёт уже подан, но награда ещё не назначена, OpenAI применит новые диапазоны. Если награду выдали в течение 30 дней до объявления, компания выплатит разницу при условии, что по новым правилам находка стоила бы дороже. Для этого пересчёта отдельно указаны базовая награда и надбавка за лояльность. Обещания применить к старым выплатам все бонусные множители нет.

Повышение выплат сопровождает подготовку нового внутреннего security sprint. OpenAI привлекает Cathedral Systems: внешние исследователи будут вместе с её командами проверять защиту с помощью моделей компании. В предыдущем спринте на поиск и исправление слабых мест выделили четверть продуктовых инженеров; Codex помогал разбирать находки, воспроизводить уязвимости в изолированной среде и готовить исправления к проверке.

Сервисы анализа кода уже движутся к постоянной проверке: Claude Security следит за изменениями в репозиториях, а AWS Continuum проверяет достижимость уязвимостей и предлагает исправления. Но автоматический анализ не отменяет проверку результатов людьми.

У AI-безопасности складываются две дополняющие друг друга линии работы. Одну представляют сервисы автоматизированного анализа кода, другую сохраняют независимые исследователи, которым платят за подтверждённые находки. OpenAI усиливает вторую: награда зависит не только от серьёзности ошибки, но и от того, насколько полезный для исправления отчёт получит команда.