OpenAI prépare un nouveau sprint de sécurité avec Cathedral et quadruple les primes de son bug bounty
OpenAI a annoncé le 2 novembre un nouveau sprint interne de sécurité mené avec la société Cathedral, dont les chercheurs utiliseront ses modèles pour attaquer ses défenses, et une hausse de son programme de primes aux failles : jusqu'à 30 000 dollars pour une faille critique, jusqu'à 172 000 dollars bonus compris.
OpenAI a annoncé le 2 novembre 2026 deux mesures de cybersécurité liées : un nouveau sprint interne de sécurité, cette fois avec des chercheurs extérieurs de la société Cathedral, et une forte hausse des récompenses de son programme de primes aux failles (bug bounty), hébergé sur Bugcrowd. L’idée revendiquée : utiliser ses propres modèles pour trouver ses failles avant les attaquants.
Un sprint avec des chercheurs extérieurs
OpenAI explique que les chercheurs de Cathedral utiliseront ses modèles aux côtés de ses équipes pour « mettre à l’épreuve » ses défenses. L’entreprise ne donne ni date, ni durée, ni effectif pour ce sprint. Elle décrit en revanche le précédent : 25 % de ses ingénieurs produit ont été affectés à la recherche et à la correction de failles, en s’appuyant sur Codex pour enquêter sur les signalements, reproduire les vulnérabilités dans des environnements isolés et préparer des correctifs relus avant intégration.
Le billet justifie la démarche par le fait que les défenses classiques « ne suffisent plus » et cite des « incidents récents dans l’industrie », sans les nommer. Il rappelle aussi qu’OpenAI met ses modèles les plus capables à disposition des clients Daybreak, son offre de cybersécurité, et a promis un milliard de dollars d’accès subventionné sur six mois pour les défenseurs de services essentiels.
Des primes jusqu’à 172 000 dollars
Côté bug bounty, OpenAI dit plus que quadrupler en moyenne le point médian de ses fourchettes pour les failles moyennes, hautes et critiques.
| Gravité (exemples d’OpenAI) | Ancienne prime citée | Nouveau calcul illustratif |
|---|---|---|
| Moyenne, ChatGPT | 750 $ | 2 415 $ |
| Haute, Prism (actif non cœur) | 1 000 $ | 3 162,50 $ |
| Critique, ChatGPT (prise de contrôle de compte en un clic) | 6 500 $ | 51 577 $ |
| Exceptionnelle, ChatGPT (lecture des conversations d’autres utilisateurs) | 100 000 $ | 171 925 $ |
Exemples publiés par OpenAI, présentés comme illustratifs, consultés le 3 novembre 2026.
Concrètement, une faille critique sur un produit cœur (ChatGPT, Codex, plateforme API) rapporte désormais jusqu’à 30 000 dollars de base. Trois multiplicateurs s’y ajoutent : un bonus qualité pour les rapports avec une preuve de concept fiable, un programme de fidélité à cinq niveaux et des campagnes prioritaires dotées de cagnottes sur les nouvelles fonctions. Les rapports en attente profitent des nouveaux barèmes, et les primes versées dans les 30 jours précédents seront complétées. L’équipe sécurité sera aussi à l’événement PROMPT2PWN à Oakland les 20 et 21 novembre.
Ce qu’il faut garder en tête
Les montants les plus élevés supposent le cumul de tous les bonus et restent des cas d’école. Le plafond de 100 000 dollars pour une découverte exceptionnelle existait déjà ; ce qui change surtout, ce sont les primes « ordinaires » des failles moyennes à critiques, et la prime au rapport bien documenté.
Daybreak, l’offre de sécurité d’OpenAI citée dans l’annonce, faisait déjà l’actualité la semaine dernière avec les conditions d’entraînement sur les sessions Daybreak Blue.
Notre lecture
Le message d’OpenAI est cohérent : si les modèles deviennent très bons pour trouver des failles, les laboratoires doivent s’en servir d’abord sur eux-mêmes, et payer assez les chercheurs extérieurs pour qu’ils signalent plutôt qu’ils revendent. La hausse des primes de base pour les failles moyennes et hautes, plus fréquentes que les « exceptionnelles », est sans doute la mesure la plus concrète pour la communauté. Reste que le sprint avec Cathedral est annoncé sans calendrier ni engagement de publication des résultats, et que les chiffres les plus spectaculaires sont des exemples de calcul, pas des paiements. On jugera sur les rapports publiés et les primes réellement versées dans les prochains mois.
Sources
- OpenAI — Preparing our next security sprint to harden OpenAI (2 novembre 2026) Source primaire
- OpenAI — Rewarding defenders with bigger bug bounties (2 novembre 2026) Source primaire
- OpenAI sur X — annonce du sprint de sécurité (3 novembre 2026) Source primaire
- Bugcrowd — programme Security Bug Bounty d'OpenAI Source primaire
Une source primaire émane directement de l'entreprise, du laboratoire ou de l'organisme concerné. Une source secondaire rapporte l'information sans en être l'auteur : nous la signalons comme telle. Une erreur ? Consultez notre politique de correction.
