A OpenAI planeja novo ciclo intensivo de segurança e aumenta as recompensas por vulnerabilidades

A OpenAI anunciou em 2 de novembro de 2026 que planeja realizar outro ciclo intensivo interno de segurança com a Cathedral e outros pesquisadores externos. No mesmo dia, uma atualização do programa de recompensas por vulnerabilidades aumentou os valores e introduziu bônus que podem elevar a até US$ 172.000 os pagamentos por descobertas críticas excepcionais.

Os pesquisadores da Cathedral usarão os modelos da OpenAI em conjunto com suas equipes internas para pôr as defesas à prova e procurar vulnerabilidades. O anúncio trata de um ciclo intensivo planejado, não de uma rodada de testes já concluída. Gavin Kliger, CEO e cofundador da Cathedral, afirmou que a colaboração combinaria os modelos e a experiência em segurança da OpenAI com as pesquisas da Cathedral para encontrar vulnerabilidades, testar correções e contribuir para a defesa contínua.

Recompensas maiores para pesquisadores independentes

Em média, as mudanças mais do que quadruplicaram o ponto médio das faixas de recompensa para descobertas de gravidade média, alta e crítica, segundo o anúncio separado da OpenAI sobre o programa de recompensas por vulnerabilidades. Uma vulnerabilidade crítica em um produto essencial, como ChatGPT, Codex ou API Platform, pode agora render até US$ 30.000. Descobertas críticas excepcionais nesses alvos continuam elegíveis a até US$ 100.000 antes dos bônus.

Relatórios de alta qualidade poderão receber um multiplicador sobre a recompensa-base. O bônus de qualidade reconhece uma prova de conceito confiável que isole o erro, mostre em que condições ele pode ser explorado e demonstre seu impacto. Um novo programa de fidelidade com cinco níveis oferece bônus progressivos a pesquisadores que trabalham repetidamente com a OpenAI, enquanto campanhas prioritárias terão fundos de bônus próprios para testar funcionalidades recém-lançadas.

Os relatórios que ainda aguardam a concessão de uma recompensa passarão a usar as novas faixas. Pesquisadores cujas recompensas foram concedidas nos 30 dias anteriores ao anúncio receberão a diferença caso os novos valores-base e as recompensas por fidelidade tivessem resultado em pagamentos maiores.

Ciclo intensivo anterior orienta a Defense Factory

O ciclo intensivo anterior serve de modelo operacional. A OpenAI destinou 25% de seus engenheiros de produto à identificação e correção de vulnerabilidades, usando o Codex para investigar descobertas, reproduzir vulnerabilidades em ambientes isolados e preparar correções para revisão. Segundo o relato sobre a Defense Factory, o esforço mobilizou mais de 250 pessoas em mais de 100 áreas de serviço.

A OpenAI informa que o esforço anterior resolveu 53 problemas urgentes ou de alta prioridade no primeiro dia. A empresa identificou 37% das descobertas como duplicadas, reproduziu 19,5% em tempo de execução e registrou uma taxa de falsos positivos de 0,81% após a validação dinâmica. A remediação foi inteiramente baseada no Codex, com uma taxa de reversão de correções de 0,53%.

Esses resultados explicam por que a Defense Factory é mais do que um gerador de correções. Seu ciclo contínuo, centrado em agentes, abrange inventário, descoberta, validação dinâmica, atribuição de responsáveis e remediação verificada, com agentes trabalhando em ambientes isolados e reproduzíveis. Enquanto os agentes assumem as tarefas rotineiras, as pessoas revisam mudanças de impacto significativo e tratam dos casos ambíguos.

O projeto também vem acompanhado de uma ressalva importante: verificações posteriores revelaram uma lacuna entre patches integrados e correções implantadas em toda a frota. O andamento de um chamado ou a aceitação do trabalho não comprovam a remediação; a etapa de remediação verificada exige evidências de implantação e verificação após a revisão humana e a implantação autorizada.

Acesso para defensores além da OpenAI

Além de proteger seus próprios sistemas, a OpenAI está disponibilizando seus modelos mais capazes aos clientes da Daybreak para trabalhos defensivos autorizados. No anúncio da Daybreak de 3 de setembro de 2026, a empresa estabeleceu uma meta de consumo ao longo de seis meses para um compromisso de US$ 1 bilhão, que cobre acesso subsidiado, treinamento, suporte técnico e parcerias. A iniciativa começa com defensores norte-americanos de serviços essenciais, como água e eletricidade, que dispõem de recursos limitados.

Na época do anúncio, a OpenAI informou que milhares de defensores em 2.000 organizações e espaços de trabalho aprovados já usavam a Daybreak, incluindo empresas de cibersegurança, organizações de defesa e órgãos de aplicação da lei.

O ciclo intensivo planejado conecta essas defesas internas e externas: pesquisadores de fora recebem incentivos maiores para relatar o que os testes da OpenAI não detectaram, enquanto sua operação centrada em agentes foi concebida para validar e corrigir vulnerabilidades. O parâmetro incorporado ao próprio projeto da OpenAI é saber se as descobertas resultam em remediações implantadas e verificadas de forma independente, em vez de apenas em chamados marcados como concluídos.