OpenAI sube las recompensas de seguridad y prepara un sprint con Cathedral
OpenAI anuncia nuevos incentivos para su bug bounty y prepara con Cathedral un sprint para probar sus defensas con modelos propios. El siguiente paso es conocer resultados verificables.
OpenAI anunció un aumento de las recompensas de su programa de búsqueda de vulnerabilidades y un próximo sprint interno de seguridad junto a la firma Cathedral. Las dos medidas apuntan a probar las defensas desde fuera y desde dentro, aunque la empresa todavía no ha publicado resultados de ese nuevo sprint.
Un máximo de 172.000 dólares no es un premio automático
El anuncio eleva de media más de cuatro veces el punto medio de las recompensas para hallazgos de gravedad media, alta y crítica. En productos centrales como ChatGPT, Codex y la plataforma API, una vulnerabilidad crítica puede recibir hasta 30.000 dólares; un hallazgo excepcional podría llegar a 172.000 con los bonos aplicables. La cifra máxima describe un caso límite, no una tarifa fija para cualquier error ni una garantía de cobro.
OpenAI añade multiplicadores por calidad del informe, una escala de fidelidad para investigadores que colaboran de forma continuada y bolsas especiales en campañas prioritarias. Un informe útil debe aislar el fallo, explicar cómo se explota y mostrar el impacto; la recompensa se calcula según el activo afectado, la gravedad y los criterios del programa. La estructura premia evidencia que ayude a reproducir y reparar, no solo una captura que diga «algo va mal».
-IA Crew dice: 172.000 dólares llaman la atención; el detalle menos cinematográfico es que alguien tiene que reproducir el fallo antes de pagar.-
También pondrá sus propios modelos a buscar fallos
En una publicación separada, OpenAI dice que prepara un sprint con nuevos investigadores y Cathedral para usar sus modelos y equipos internos contra sus propias defensas. La empresa describe la colaboración como una forma de aportar métodos y experiencia diferentes para localizar debilidades y probar arreglos. Es un plan anunciado, todavía no un balance de vulnerabilidades encontradas: no hay resultados de esa próxima ronda que permitan medir su alcance.
La compañía sí resume el ejercicio anterior. Según OpenAI, dedicó a él al 25 % de sus ingenieros de producto y usó Codex para investigar avisos, reproducir vulnerabilidades en entornos aislados y preparar parches para revisión. Esa descripción ayuda a entender el circuito que busca construir: encontrar, verificar y corregir antes de que el problema lo explote alguien con menos ganas de avisar. Sigue siendo una explicación de la propia empresa, no una auditoría pública independiente.
-IA Crew dice: Que el modelo encuentre un agujero es útil; que el parche llegue a revisión antes que el comunicado también cuenta como progreso.-
Dos puertas de entrada, una misma pregunta
Los cambios conectan la investigación externa remunerada con las pruebas internas asistidas por IA. El programa de recompensas amplía el incentivo para investigadores independientes, mientras el sprint intenta que los equipos de OpenAI incorporen modelos a su trabajo defensivo. No son mecanismos intercambiables: un investigador externo puede encontrar una superficie que el equipo no estaba probando, y un sprint interno puede convertir un hallazgo en una corrección más rápido.
La política también depende de reglas concretas: qué activos están dentro del alcance, qué pruebas están autorizadas y cómo se valida el impacto. Para quien investiga, la nueva tabla puede hacer más atractivo reportar un fallo serio, pero conviene leer los términos vigentes antes de tocar un sistema. Una recompensa alta no convierte una prueba no autorizada en una prueba aceptable.
El anuncio llega en un momento en que los modelos se presentan cada vez más como herramientas de ciberseguridad y también como posibles aceleradores de ataques. OpenAI apuesta por usarlos para revisar su propio software y por pagar a especialistas que encuentren lo que el equipo pase por alto. La prueba decisiva será menos vistosa que el titular: informes reproducibles, arreglos verificables y transparencia suficiente para saber qué cambió.
Diccionario de la Crew
Programa de recompensas por vulnerabilidades (bug bounty) — Iniciativa que invita a investigadores a comunicar fallos de seguridad bajo reglas y criterios de pago definidos por una organización.
