OpenAI Merencanakan Sprint Keamanan Baru dan Menaikkan Imbalan Bug Bounty

OpenAI mengumumkan pada 2 November 2026 bahwa mereka merencanakan sprint keamanan internal lainnya bersama Cathedral dan peneliti eksternal lainnya. Pada hari yang sama, pembaruan program bug bounty menaikkan imbalan dan memperkenalkan bonus yang dapat meningkatkan pembayaran untuk temuan kritis luar biasa hingga $172.000.

Para peneliti Cathedral akan menggunakan model OpenAI bersama tim internalnya untuk menguji pertahanan dan mencari kelemahan. Pengumuman tersebut membahas sprint yang direncanakan, bukan putaran pengujian yang telah selesai. Gavin Kliger, CEO sekaligus salah satu pendiri Cathedral, mengatakan kolaborasi ini akan memadukan model dan keahlian keamanan OpenAI dengan penelitian Cathedral untuk menemukan kelemahan, menguji perbaikan, dan mendukung pertahanan berkelanjutan.

Imbalan Lebih Besar bagi Peneliti Independen

Menurut pengumuman program bug bounty terpisah dari OpenAI, perubahan tersebut membuat nilai tengah rentang imbalan untuk temuan tingkat sedang, tinggi, dan kritis meningkat rata-rata lebih dari empat kali lipat. Kerentanan kritis pada produk inti seperti ChatGPT, Codex, atau API Platform kini dapat memperoleh imbalan hingga $30.000. Temuan kritis luar biasa pada produk-produk tersebut tetap berhak atas imbalan hingga $100.000 sebelum bonus.

Laporan berkualitas tinggi berhak mendapatkan pengali untuk imbalan dasar. Bonus kualitas diberikan untuk bukti konsep yang andal, yang mengisolasi bug, menunjukkan kapan bug dapat dieksploitasi, dan memperlihatkan dampaknya. Program loyalitas lima tingkat yang baru memberikan bonus bertingkat bagi peneliti yang berulang kali bekerja sama dengan OpenAI, sementara kampanye prioritas akan menyediakan kumpulan bonus khusus untuk pengujian fitur yang baru diluncurkan.

Laporan yang masih menunggu pemberian imbalan akan mengikuti rentang baru. Peneliti yang menerima imbalan bug bounty dalam 30 hari sebelum pengumuman akan memperoleh selisihnya apabila imbalan dasar dan loyalitas yang baru menghasilkan pembayaran lebih besar.

Sprint Sebelumnya Menjadi Acuan bagi Defense Factory

Sprint sebelumnya menjadi acuan operasional. OpenAI mengerahkan 25% insinyur produknya untuk menemukan dan memperbaiki kelemahan, dengan menggunakan Codex untuk menyelidiki temuan, mereproduksi kerentanan di lingkungan terisolasi, dan menyiapkan patch untuk ditinjau. Menurut laporan Defense Factory, upaya tersebut mengerahkan lebih dari 250 orang di lebih dari 100 bidang layanan.

OpenAI melaporkan bahwa upaya sebelumnya menuntaskan 53 masalah mendesak atau berprioritas tinggi pada hari pertama. Sebanyak 37% temuan diidentifikasi sebagai duplikat, 19,5% berhasil direproduksi saat sistem berjalan, dan tingkat positif palsu tercatat sebesar 0,81% setelah validasi dinamis. Seluruh remediasi dilakukan dengan Codex, dengan tingkat perbaikan yang dibatalkan sebesar 0,53%.

Hasil tersebut menjelaskan mengapa Defense Factory lebih dari sekadar pembuat patch. Siklus berkelanjutannya yang mengutamakan agen mencakup inventarisasi, penemuan, validasi dinamis, penetapan penanggung jawab, dan remediasi terverifikasi, dengan agen yang bekerja di lingkungan terisolasi yang dapat direproduksi. Manusia meninjau perubahan yang berdampak besar dan menangani kasus ambigu, sementara agen mengambil alih pekerjaan rutin.

Desain ini juga memiliki catatan penting: pemeriksaan lanjutan menemukan kesenjangan antara patch yang telah digabungkan dan perbaikan yang diterapkan di seluruh armada sistem. Perpindahan tiket atau pekerjaan yang diterima bukan bukti bahwa remediasi telah dilakukan; tahap remediasi terverifikasi mensyaratkan bukti penerapan dan verifikasi setelah peninjauan manusia serta penerapan yang berwenang.

Akses bagi Pihak yang Bertahan di Luar OpenAI

Di luar sistemnya sendiri, OpenAI menyediakan model-modelnya yang paling mumpuni bagi pelanggan Daybreak untuk pekerjaan defensif yang berizin. Dalam pengumuman Daybreak pada 3 September 2026, OpenAI menetapkan target penggunaan selama enam bulan untuk komitmen senilai $1 miliar yang mencakup akses bersubsidi, pelatihan, dukungan teknis, dan kemitraan. Program ini dimulai dengan para pihak di AS yang bertugas melindungi layanan penting seperti air dan listrik, tetapi memiliki keterbatasan sumber daya.

Saat pengumuman itu disampaikan, OpenAI melaporkan bahwa ribuan pihak yang bertugas menangani pertahanan siber di 2.000 organisasi dan ruang kerja yang disetujui telah menggunakan Daybreak, termasuk perusahaan keamanan siber, organisasi pertahanan, dan organisasi penegak hukum.

Sprint yang direncanakan ini menghubungkan pertahanan internal dan eksternal tersebut: peneliti dari luar mendapat insentif lebih besar untuk melaporkan hal-hal yang luput dari pengujian OpenAI, sementara operasi yang mengutamakan agen dirancang untuk memvalidasi dan memperbaiki kelemahan. Tolok ukur yang tertanam dalam rancangan OpenAI sendiri adalah apakah temuan berujung pada remediasi yang telah diterapkan dan diverifikasi secara independen, bukan sekadar tiket yang ditandai selesai.