O OpenAI bug bounty dobrou de escala: em 2 de novembro de 2026, a empresa anunciou que vai mais que quadruplicar o ponto médio das faixas de recompensa para achados de gravidade média, alta e crítica. A mudança acompanha o plano de uma nova sprint interna de segurança com pesquisadores externos.
Novas faixas do OpenAI bug bounty
O programa agora paga até US$ 30 mil por vulnerabilidades críticas nos produtos principais — ChatGPT, Codex e API Platform. Achados críticos excepcionais têm base de US$ 100 mil e, com os bônus de qualidade, podem chegar a US$ 172 mil por relatório.
A OpenAI introduziu um multiplicador de bônus para relatórios de alta qualidade: o critério é uma prova de conceito confiável que isole o bug, mostre quando pode ser explorado e demonstre o impacto real. Pesquisadores que mantenham envio de relatórios receberão bônus crescentes num programa de fidelidade de cinco níveis. Campanhas prioritárias terão fundos dedicados para testar recursos recém-lançados.
Relátórios ainda sem pagamento usarão as novas faixas. Pesquisadores premiados nos 30 dias anteriores ao anúncio receberão a diferença se as novas faixas pagarem mais.
Sprint de segurança com IA — o que a anterior mostrou
O OpenAI bug bounty ampliado anda junto com um segundo componente: a empresa planeja uma nova sprint interna com a Cathedral Systems, cujos pesquisadores usarão os modelos da OpenAI ao lado das equipes internas para identificar falhas e testar defesas.
A sprint anterior — chamada Defense Factory — colocou 25% dos engenheiros de produto da OpenAI em tempo integral na busca por vulnerabilidades. O Codex investigou relatos, reproduziu bugs em ambientes isolados e preparou patches para revisão. No primeiro dia foram fechados 53 problemas urgentes ou de alta prioridade. A taxa de reversão dos patches gerados pelo Codex foi de 0,53%.
Um dado mostra a complexidade real: 37% dos achados eram duplicatas, e 19,5% foram reproduzidos em tempo de execução. A taxa de falsos positivos após validação dinâmica ficou em 0,81%. Verificações posteriores mostraram lacunas entre correções mescladas e correções efetivamente implantadas em toda a frota — o que levou a OpenAI a exigir evidência de implantação, não apenas tickets fechados.
Por que isso importa para o seu negócio
O OpenAI bug bounty maior é uma resposta ao risco crescente de que adversários encontrem falhas antes dos defensores. Para equipes que usam a API da OpenAI, o Codex ou o ChatGPT em fluxos críticos, um programa de recompensas mais robusto significa que a superfície de ataque da plataforma que sustenta seus sistemas é investigada com mais intensidade.
O Daybreak for Frontline Defenders, anunciado em setembro de 2026 com meta de consumo de US$ 1 bilhão em seis meses, já alcançava milhares de defensores em 2.000 organizações — com foco em infraestrutura crítica como água e eletricidade. A sprint com a Cathedral Systems expande esse esforço para o próprio produto da OpenAI.
Se você usa ChatGPT Codex em automações, monitore os boletins do programa de segurança da OpenAI. Relatórios de vulnerabilidade confirmados afetam diretamente o ambiente onde suas automações rodam. Acesse o programa em openai.com.
Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.
Fonte: OpenAI
