OpenAI planlægger nyt sikkerhedssprint og hæver dusørerne for fejlrapportering

OpenAI meddelte den 2. november 2026, at virksomheden planlægger endnu et internt sikkerhedssprint sammen med Cathedral og andre eksterne forskere. Samtidig hævede en opdatering af bug bounty-programmet dusørerne og indførte bonusser, der kan løfte udbetalingerne for usædvanligt kritiske fund til 172.000 $.

Forskere fra Cathedral vil bruge OpenAIs modeller sammen med virksomhedens interne teams til at udfordre forsvaret og lede efter svagheder. Meddelelsen handler om et planlagt sprint, ikke en afsluttet testrunde. Gavin Kliger, CEO og medstifter af Cathedral, sagde, at samarbejdet ville kombinere OpenAIs modeller og sikkerhedsekspertise med research fra Cathedral for at finde svagheder, teste rettelser og understøtte et løbende forsvar.

Større dusører til uafhængige forskere

Ifølge OpenAIs separate meddelelse om bug bounty-programmet blev midtpunktet i belønningsintervallerne for fund med middel, høj og kritisk alvorlighedsgrad i gennemsnit mere end firedoblet. En kritisk sårbarhed i et kerneprodukt som ChatGPT, Codex eller API Platform kan nu indbringe op til 30.000 $. Usædvanligt kritiske fund i disse produkter er fortsat berettiget til op til 100.000 $ før bonusser.

Rapporter af høj kvalitet vil være berettiget til en multiplikator på grunddusøren. Kvalitetsbonussen belønner et pålideligt proof of concept, der isolerer fejlen, viser, hvornår den kan udnyttes, og demonstrerer dens konsekvenser. Et nyt loyalitetsprogram med fem niveauer giver forskere, der gentagne gange arbejder med OpenAI, bonusser, der vokser med deres indsats, mens prioriterede kampagner vil stille særlige bonuspuljer til rådighed for test af nyligt lancerede funktioner.

Rapporter, der stadig afventer en dusør, vil blive behandlet efter de nye intervaller. Forskere, hvis dusører blev tildelt i løbet af de 30 dage før meddelelsen, vil få udbetalt differencen, hvis de nye grund- og loyalitetsdusører ville have givet en større udbetaling.

Det tidligere sprint danner grundlag for Defense Factory

Det tidligere sprint danner den operationelle model. OpenAI afsatte 25 % af sine produktudviklere til at finde og rette svagheder. De brugte Codex til at undersøge fund, genskabe sårbarheder i isolerede miljøer og udarbejde programrettelser til gennemgang. Ifølge virksomhedens beretning om Defense Factory mobiliserede indsatsen mere end 250 personer på tværs af mere end 100 serviceområder.

OpenAI oplyser, at den tidligere indsats lukkede 53 hastende sager eller sager med høj prioritet på sin første dag. Virksomheden identificerede 37 % af fundene som dubletter, genskabte 19,5 % under kørsel og registrerede en andel af falske positiver på 0,81 % efter dynamisk validering. Afhjælpningen var udelukkende baseret på Codex, og 0,53 % af rettelserne blev rullet tilbage.

Disse resultater forklarer, hvorfor Defense Factory er mere end en generator af programrettelser. Den kontinuerlige, agentcentrerede arbejdsgang omfatter registrering, opdagelse, dynamisk validering, tildeling af ansvar og verificeret afhjælpning, mens agenter arbejder i miljøer, der kan genskabes og er isolerede. Mennesker gennemgår væsentlige ændringer og håndterer tvetydige sager, mens agenter tager sig af rutineopgaver.

Udformningen har også et væsentligt forbehold: Opfølgende kontroller afdækkede en kløft mellem sammenflettede programrettelser og rettelser, der var udrullet på tværs af hele systemflåden. At en sag flyttes eller et stykke arbejde godkendes, er ikke bevis på, at problemet er afhjulpet; fasen for verificeret afhjælpning kræver dokumentation for udrulning og verifikation efter menneskelig gennemgang og autoriseret udrulning.

Forsvarere får adgang uden for OpenAI

Ud over sine egne systemer gør OpenAI sine mest kapable modeller tilgængelige for Daybreak-kunder til autoriseret forsvarsarbejde. I sin meddelelse om Daybreak den 3. september 2026 satte virksomheden et mål for forbruget over seks måneder som led i et tilsagn på 1 mia. $, der omfatter subsidieret adgang, oplæring, teknisk support og partnerskaber. Indsatsen begynder med amerikanske forsvarere af vigtige tjenester som vand og elektricitet, der har begrænsede ressourcer.

På tidspunktet for meddelelsen oplyste OpenAI, at tusindvis af forsvarere på tværs af 2.000 godkendte organisationer og arbejdsområder allerede brugte Daybreak, herunder cybersikkerhedsvirksomheder, forsvarsorganisationer og retshåndhævende myndigheder.

Det planlagte sprint forbinder det interne og eksterne forsvar: Eksterne forskere får større incitamenter til at indrapportere det, OpenAIs test overså, mens virksomhedens agentcentrerede drift er udviklet til at validere og afhjælpe svagheder. Målestokken, der er indbygget i OpenAIs eget design, er, om fundene ender med udrullet og uafhængigt verificeret afhjælpning, frem for blot at blive markeret som afsluttede sager.