OpenAI amplia recompensas do Security Bug Bounty e passa a pagar até US$ 172 mil por falhas críticas

A OpenAI reajustou o Security Bug Bounty para atrair pesquisadores independentes a achar falhas que os testes internos deixaram passar. Segundo a empresa, o ponto médio das faixas de recompensa para falhas de severidade média, alta e crítica foi mais que quadruplicado, em média. Uma vulnerabilidade crítica em produto central (ChatGPT, Codex ou API Platform) passa a render até US$ 30.000. Achados críticos excepcionais nesses alvos continuam elegíveis a até US$ 100.000, e agora chegam a US$ 172.000 com bônus.

O pacote traz três mecanismos novos. Primeiro, um multiplicador sobre a recompensa base para relatórios de alta qualidade, como os com proof of concept confiável que isola o bug, mostra quando ele é explorável e demonstra o impacto. Segundo, um programa de fidelidade em 5 níveis, com bônus escalonados para quem reporta de forma recorrente. Terceiro, campanhas prioritárias com pools de bônus dedicados a funcionalidades recém-lançadas. A OpenAI diz que a divulgação responsável complementa o Defense Factory, em que engenheiros usam os modelos da empresa para encontrar falhas, reproduzi-las e testar correções.

Há regra de transição: relatórios enviados e ainda sem recompensa seguem as novas faixas, e prêmios pagos nos 30 dias anteriores ao anúncio terão a diferença paga se o achado valesse mais agora (Base Award + Loyalty Awards). Nos dias 20 e 21 de novembro de 2026, a equipe de segurança estará no PROMPT2PWN, em Oakland, para testes presenciais.

Em 26 de março de 2026, o CEVIU noticiou o "Programa de Bug Bounty da OpenAI para Segurança", um programa público com foco em uso indevido de IA e riscos de segurança. Em 30 de março de 2026, em "OpenAI lança programa de recompensas para bugs de segurança", a cobertura registrou que ele rodava na plataforma Bugcrowd. Em 27 de abril de 2026, o CEVIU cobriu o programa GPT-5.5 Bio Bug Bounty, com recompensa de US$ 25.000 por um jailbreak universal no desafio de bio safety.

A novidade de agora é a mudança de valores e de estrutura do Security Bug Bounty: faixas maiores, bônus por qualidade, fidelidade e campanhas por lançamento. A cobertura anterior não traz os valores antigos das faixas, então a comparação numérica fica com a afirmação da própria OpenAI de que o ponto médio mais que quadruplicou.

Para quem faz pesquisa de segurança em produtos de IA, a leitura é que a OpenAI quer pagar mais por relatório bem feito, não só por volume. O multiplicador por proof of concept e os bônus de fidelidade favorecem quem investe tempo em reprodução e impacto. As campanhas para funcionalidades novas indicam que o melhor retorno tende a estar no que acabou de ser lançado. Para quem opera programas de bounty próprios, o movimento serve de referência de como a empresa tenta competir por atenção de pesquisadores.