OpenAI prépare un nouveau sprint interne de cybersécurité avec Cathedral Systems. Les chercheurs de cette société utiliseront les modèles d’OpenAI aux côtés des équipes internes pour chercher des faiblesses. L’entreprise augmente en parallèle les récompenses de son programme de bug bounty.
Le dispositif doit prolonger un précédent exercice durant lequel OpenAI affirme avoir mobilisé 25 % de ses ingénieurs produit. Codex avait servi à examiner des signalements, reproduire des vulnérabilités dans des environnements isolés et préparer des correctifs soumis à revue.
Des modèles d’IA utilisés pour attaquer les propres défenses d’OpenAI
Le partenariat avec Cathedral vise à confronter les systèmes à des méthodes et des profils de recherche différents. OpenAI ne détaille ni le calendrier exact du sprint, ni les produits qui seront testés, ni les modèles mis à disposition. L’annonce décrit toutefois une boucle continue : chercher des failles, les reproduire, corriger puis recommencer.
Cette démarche reflète l’évolution de la cybersécurité assistée par l’IA. Les modèles peuvent accélérer l’analyse de code, la génération de tests ou la qualification d’un signalement. Ils peuvent aussi être employés par des attaquants. L’enjeu n’est donc pas seulement la puissance du modèle, mais la vitesse à laquelle une organisation transforme une découverte en correctif vérifié.
Jusqu’à 172 000 dollars avec les bonus
OpenAI annonce plus que quadrupler, en moyenne, le milieu des fourchettes de récompense pour les failles moyennes, élevées et critiques. Une vulnérabilité critique touchant un produit central comme ChatGPT, Codex ou la plateforme API pourra rapporter jusqu’à 30 000 dollars.
Les découvertes critiques exceptionnelles restent éligibles à une base pouvant atteindre 100 000 dollars. Avec les multiplicateurs liés à la qualité du rapport, aux campagnes prioritaires et à la fidélité du chercheur, le maximum annoncé atteint 171 925 dollars, arrondi à 172 000 dollars dans la communication.
Le nouveau barème valorise les preuves de concept fiables, les rapports qui isolent clairement la faille et les chercheurs qui participent régulièrement. OpenAI prévoit aussi des campagnes temporaires sur des fonctionnalités récentes. Les récompenses attribuées dans les trente jours précédant l’annonce pourront être réévaluées si le nouveau calcul est plus favorable.
Une annonce qui devra être jugée sur les résultats
Le sprint et la hausse des primes renforcent les incitations, mais ils ne prouvent pas à eux seuls que les systèmes sont plus sûrs. Les indicateurs importants seront le nombre de vulnérabilités corrigées, le délai de traitement, la qualité des correctifs et la transparence sur les incidents.
OpenAI inscrit cette opération dans une stratégie plus large baptisée Defense Factory et dans son offre Daybreak destinée aux défenseurs. L’entreprise dit avoir engagé un milliard de dollars d’accès subventionné sur six mois pour des acteurs protégeant des services essentiels et des infrastructures numériques.
Sources : OpenAI, sprint avec Cathedral ; OpenAI, nouveau bug bounty.
