OpenAI、Cathedral社と新たなセキュリティスプリントを準備、バグ報奨金を最大4倍以上に引き上げ

OpenAIは2026年11月2日、連動する2つのサイバーセキュリティ施策を発表した。外部組織であるCathedral社の研究者を招いて実施する新たな社内セキュリティスプリントと、Bugcrowd上で運用されている脆弱性報奨金プログラム（バグバウンティ）の大幅な報酬引き上げである。その狙いは明確だ。攻撃者に先んじて脆弱性を発見するために、自社製モデルを自ら活用することにある。

外部研究者とともに挑むスプリント

OpenAIの説明によると、Cathedral社の研究者は同社のチームとともにOpenAIのモデルを駆使して自社の防御網を「徹底的にテスト」する。同社はこのスプリントの開始時期、実施期間、参加人数を明らかにしていない。一方で、前回のスプリントの実績については詳細を明かしている。プロダクトエンジニアの25%が脆弱性の探索と修正に専従し、Codexを活用して報告の調査や隔離環境での再現、レビューを経てマージされるパッチの作成を実施したという。

発表記事では、従来型の防御策は「もはや十分ではない」と強調され、具体的な名称こそ伏せられているものの「業界における最近のインシデント」が言及されている。さらに、セキュリティ向けソリューションであるDaybreakの顧客に対して同社最高性能のモデルを提供していることや、重要インフラの防御者を対象に6か月間で10億ドル分の利用補助を約束した取り組みについても改めて触れられている。

最大17万2,000ドルの報奨金

バグバウンティに関して、OpenAIは中度、高度、重大（クリティカル）な脆弱性に対する報奨金範囲の中央値を平均で4倍以上に引き上げたと述べている。

OpenAIが公開した試算用の例示、2026年11月3日時点。

具体的には、中核製品（ChatGPT、Codex、APIプラットフォーム）における重大な脆弱性の基本報奨金が最大3万ドルに引き上げられた。ここに3つの係数が加算される。確実な概念実証（PoC）を伴う報告への品質ボーナス、5段階のロイヤルティプログラム、そして新機能を対象とした報奨枠付きの優先キャンペーンである。現在審査待ちの報告にも新基準が適用されるほか、発表前30日以内に支払われた報奨金についても差額が追加支給される。なお、OpenAIのセキュリティチームは11月20〜21日にオークランドで開催されるイベント「PROMPT2PWN」にも参加する予定だ。

押さえておくべきポイント

最高額の報酬はすべてのボーナス条件を満たした場合の試算であり、あくまで極端なケースにとどまる。異例の発見に対する10万ドルの上限枠自体は以前から存在していた。今回の変更で最も重要なのは、中度から重大とされる「一般的な」脆弱性に対する基本額の大幅増額と、質の高い報告書への評価基準が明確化された点である。

なお、今回の発表で言及されたOpenAIのセキュリティ製品Daybreakは、先週もDaybreak Blueセッションにおけるモデル学習規約をめぐって注目を集めたばかりである。