OpenAI prepara novo sprint de segurança com a Cathedral e quadruplica recompensas de seu bug bounty
A OpenAI anunciou em 2 de novembro um novo sprint interno de segurança conduzido com a empresa Cathedral, cujos pesquisadores usarão seus modelos para atacar suas defesas, além de um aumento em seu programa de recompensas por falhas: até 30.000 dólares por uma falha crítica e até 172.000 dólares incluindo bônus.
A OpenAI anunciou em 2 de novembro de 2026 duas medidas de cibersegurança correlacionadas: um novo sprint interno de segurança, desta vez com pesquisadores externos da empresa Cathedral, e um aumento expressivo nas recompensas de seu programa de caça a bugs (bug bounty), hospedado no Bugcrowd. A ideia declarada: usar seus próprios modelos para encontrar vulnerabilidades antes dos invasores.
Um sprint com pesquisadores externos
A OpenAI explica que os pesquisadores da Cathedral usarão seus modelos junto com suas equipes para “colocar à prova” suas defesas. A empresa não divulgou data, duração nem o tamanho da equipe alocada para o sprint. Em contrapartida, detalhou o anterior: 25% de seus engenheiros de produto foram dedicados a encontrar e corrigir vulnerabilidades, apoiando-se no Codex para investigar os alertas, reproduzir as falhas em ambientes isolados e elaborar correções revisadas antes da integração.
O artigo justifica a iniciativa argumentando que as defesas tradicionais “não são mais suficientes” e cita “incidentes recentes no setor”, sem detalhá-los. O texto também lembra que a OpenAI disponibiliza seus modelos mais avançados para clientes do Daybreak, sua oferta de cibersegurança, e prometeu 1 bilhão de dólares em acesso subsidiado durante seis meses para defensores de serviços essenciais.
Recompensas de até 172.000 dólares
No que diz respeito ao bug bounty, a OpenAI afirma mais que quadruplicar, em média, o ponto médio de suas faixas para vulnerabilidades médias, altas e críticas.
| Gravidade (exemplos da OpenAI) | Recompensa antiga citada | Novo cálculo ilustrativo |
|---|---|---|
| Média, ChatGPT | US$ 750 | US$ 2.415 |
| Alta, Prism (ativo não essencial) | US$ 1.000 | US$ 3.162,50 |
| Crítica, ChatGPT (tomada de controle de conta com um clique) | US$ 6.500 | US$ 51.577 |
| Excepcional, ChatGPT (leitura de conversas de outros usuários) | US$ 100.000 | US$ 171.925 |
Exemplos publicados pela OpenAI, apresentados como ilustrativos, consultados em 3 de novembro de 2026.
Na prática, uma falha crítica em um produto principal (ChatGPT, Codex, plataforma de API) agora paga até 30.000 dólares de base. Três multiplicadores podem ser somados a isso: um bônus de qualidade para relatórios com prova de conceito confiável, um programa de fidelidade de cinco níveis e campanhas prioritárias com premiações dedicadas para novos recursos. Relatórios pendentes passam a valer pelas novas tabelas, e as recompensas pagas nos 30 dias anteriores serão complementadas. A equipe de segurança também estará presente no evento PROMPT2PWN, em Oakland, nos dias 20 e 21 de novembro.
O que deve ser levado em conta
Os valores mais altos exigem a soma de todos os bônus e continuam sendo casos hipotéticos. O teto de 100.000 dólares para uma descoberta excepcional já existia; a principal mudança se concentra nas recompensas “comuns” de falhas médias a críticas, além do incentivo a relatórios bem documentados.
O Daybreak, serviço de segurança da OpenAI mencionado no anúncio, já havia sido notícia na semana passada com os termos de treinamento nas sessões Daybreak Blue.
Nossa leitura
A mensagem da OpenAI é coerente: se os modelos estão se tornando muito eficazes em encontrar vulnerabilidades, os laboratórios devem usá-los primeiro contra si mesmos — e pagar o suficiente aos pesquisadores externos para incentivá-los a reportar em vez de comercializar as falhas. O aumento das recompensas básicas para falhas médias e altas, bem mais frequentes que as “excepcionais”, é provavelmente a medida mais prática para a comunidade. Ainda assim, o sprint com a Cathedral foi anunciado sem cronograma nem compromisso de publicação dos resultados, e os números mais chamativos são apenas exemplos de cálculo, não pagamentos reais. A eficácia será medida pelos relatórios divulgados e pelas recompensas de fato repassadas nos próximos meses.
Fontes
- OpenAI — Preparing our next security sprint to harden OpenAI (2 de novembro de 2026) Fonte primária
- OpenAI — Rewarding defenders with bigger bug bounties (2 de novembro de 2026) Fonte primária
- OpenAI no X — anúncio do sprint de segurança (3 de novembro de 2026) Fonte primária
- Bugcrowd — programa Security Bug Bounty da OpenAI Fonte primária
Uma fonte primária vem diretamente da empresa, do laboratório ou da organização envolvida. Uma fonte secundária relata a informação sem ser a sua autora: nós a sinalizamos como tal. Encontrou um erro? Consulte nossa política de correções.
