OpenAI ha aggiornato il programma Security Bug Bounty aumentando in media di oltre quattro volte il punto medio delle fasce per vulnerabilità medie, alte e critiche. L’azienda introduce moltiplicatori per qualità del rapporto, livello del ricercatore e campagne prioritarie.
Gli esempi pubblicati arrivano a 51.577 dollari per un takeover zero-click e a 171.925 dollari per compromissioni eccezionali dei confini di sicurezza.
Gli importi citati sono esempi illustrativi, non pagamenti automatici. OpenAI applicherà le nuove fasce alle segnalazioni non ancora premiate e verserà la differenza per alcuni bounty assegnati nei trenta giorni precedenti. Le campagne temporanee mirano a concentrare test sulle nuove funzioni, mantenendo divulgazione responsabile e verifica interna.
Ricercatori italiani possono partecipare se rispettano ambito e regole del programma. L’aumento rende più competitivo il lavoro difensivo, ma non autorizza accessi a dati reali o test fuori perimetro. Aziende italiane possono trarre una lezione diretta: incentivi chiari e risposte rapide riducono la probabilità che una falla resti nascosta o venga venduta altrove.
Il successo si misurerà con tempo di triage, qualità dei fix e percentuale di segnalazioni valide, non con il valore massimo pubblicizzato. L’azienda dovrà evitare che i bonus spingano a duplicati o test invasivi. Restano essenziali safe harbor, comunicazioni trasparenti e criteri coerenti per distinguere un impatto teorico da uno realmente riproducibile.