#

Points clés

• OpenAI a augmenté les fourchettes de récompense pour les signalements de gravité moyenne, élevée et critique.

• Un problème critique dans les produits principaux peut désormais rapporter jusqu'à 30 000 $.

• Les signalements critiques exceptionnels peuvent toujours atteindre 100 000 $ avant bonus.

• Le programme inclut désormais des multiplicateurs de qualité, de fidélité et de campagnes prioritaires.

• Les nouvelles fourchettes s'appliquent aux signalements soumis mais pas encore récompensés.

OpenAI met à jour son programme Security Bug Bounty

OpenAI a annoncé des changements à son programme Security Bug Bounty le 2 novembre 2026. La mise à jour augmente de plus de quatre fois en moyenne le point médian des fourchettes de récompense pour les signalements de gravité moyenne, élevée et critique. Elle ajoute également de nouvelles structures de bonus qui peuvent augmenter les paiements pour certains signalements.

L'entreprise indique qu'une vulnérabilité critique dans un produit principal tel que ChatGPT, Codex ou la plateforme API peut désormais recevoir jusqu'à 30 000 $. Les signalements critiques exceptionnels restent éligibles à un maximum de 100 000 $ avant bonus. OpenAI précise que ce montant peut atteindre environ 172 000 $ bonus compris.

Comment fonctionnent les nouveaux bonus

OpenAI a ajouté des multiplicateurs pour les signalements de haute qualité, la fidélité et les campagnes prioritaires. Le bonus de qualité s'applique aux signalements accompagnés de preuves de concept fiables. Ces signalements doivent isoler une faiblesse, expliquer l'exploitabilité et démontrer l'impact. Cela rend la norme de signalement plus précise et plus structurée.

Le programme de fidélité comporte cinq niveaux. Il récompense une collaboration répétée avec l'entreprise. OpenAI a également introduit des campagnes prioritaires de courte durée. Ces campagnes utilisent des pools de bonus dédiés pour les fonctionnalités nouvellement lancées.

La source inclut des calculs de paiement pour montrer comment les bonus peuvent se combiner. Ces exemples sont des scénarios illustratifs et des récompenses historiques. Ils ne constituent pas des divulgations de vulnérabilités nouvellement découvertes. Cette distinction est importante, car les exemples ne doivent pas être interprétés comme la preuve d'un défaut actuel dans un produit.

Calendrier et ajustements des paiements

OpenAI indique que les nouvelles fourchettes s'appliquent aux signalements qui ont été soumis mais pas encore récompensés. L'entreprise précise également que, pour les primes attribuées dans les trente jours précédant l'annonce, elle versera la différence applicable selon les nouvelles fourchettes de base et de fidélité. Cela crée une fenêtre d'ajustement rétroactif pour les récompenses récentes.

L'annonce décrit aussi la participation à PROMPT2PWN à Oakland les 20 et 21 novembre. Les chercheurs doivent respecter le périmètre et les conditions réels du programme. L'annonce n'accorde pas l'autorisation de tester des systèmes sans rapport. Cela signifie que les limites du programme continuent de déterminer ce que les chercheurs peuvent ou non évaluer.

Ce que cela signifie pour les chercheurs

La mise à jour signale une structure d'incitation plus forte pour les signalements de sécurité. Des fourchettes de base plus élevées, associées à des bonus, peuvent rendre le programme plus attractif pour les chercheurs capables de produire des résultats clairs et reproductibles. L'accent mis sur la qualité des preuves de concept suggère également que la clarté du rapport joue désormais un rôle plus important dans le montant des paiements.

Les paliers de fidélité peuvent aussi encourager une participation continue. Les chercheurs qui travaillent régulièrement avec le programme peuvent progresser dans la structure à cinq niveaux. Les campagnes prioritaires ajoutent une couche supplémentaire, puisqu'elles orientent des pools de bonus vers les fonctionnalités nouvellement lancées.

Pour les chercheurs, l'essentiel est simple. Des rapports solides, des preuves claires et le respect du périmètre du programme comptent plus que jamais. L'annonce lie le montant des récompenses à la qualité du rapport et à l'historique de participation, tout en maintenant les règles du programme.

Note éditoriale

Les montants de paiement figurant dans la source sont des exemples et des récompenses historiques. Ils ne doivent pas être considérés comme des affirmations concernant des vulnérabilités actives. L'annonce décrit des changements de politique de récompense, et non un incident de sécurité.