// CLUBIC — INTELLIGENZA ARTIFICIALE
Jusqu'à 172 000 dollars pour découvrir une faille dans ChatGPT : OpenAI fait exploser ses primes
OpenAI revoit fortement à la hausse les récompenses offertes aux chercheurs qui découvrent des failles dans ChatGPT, Codex et ses autres services. Certaines primes pourraient désormais être presque huit fois plus élevées et atteindre jusqu'à 172 000 dollars dans les cas les plus exceptionnels. Une manière d'encourager des découvertes réellement utiles à la sécurité de ses systèmes.
Trouver une faille dans ChatGPT pourrait devenir particulièrement lucratif. Dans une annonce publiée le 2 novembre, OpenAI dévoile une importante révision de son programme de bug bounty, qui rémunère les chercheurs en cybersécurité signalant de manière responsable les vulnérabilités de ses produits.L'entreprise multiplie par plus de quatre, en moyenne, le montant médian des fourchettes de récompenses pour les failles de gravité moyenne, élevée et critique. Elle introduit également plusieurs bonus destinés à valoriser les découvertes les plus utiles.
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
La hausse est particulièrement visible sur les vulnérabilités critiques. OpenAI prend l'exemple d'une faille permettant de prendre le contrôle d'un compte ChatGPT en un seul clic : la récompense passerait de 6 500 à 51 577 dollars, bonus compris. Ces montants sont illustratifs, mais donnent une idée concrète de l'augmentation.La prime de base pour une vulnérabilité critique affectant ChatGPT, Codex ou la plateforme API peut désormais atteindre 30 000 dollars. Les chercheurs peuvent ensuite cumuler plusieurs majorations, notamment pour la qualité de leur démonstration, leur fidélité au programme ou leur participation à des campagnes prioritaires.
Dans les cas les plus exceptionnels, une découverte qui pouvait déjà rapporter jusqu'à 100 000 dollars pourrait désormais être récompensée à hauteur de 171 925 dollars, bonus compris. OpenAI précise qu'il s'agit d'un exemple illustratif, et non d'une somme déjà versée.Les nouvelles conditions s'appliquent aussi aux signalements déjà effectués mais pas encore rémunérés. L'entreprise prévoit même un complément pour les chercheurs ayant reçu une prime au cours des 30 jours précédant l'annonce, si la nouvelle grille leur avait été plus favorable.
Cette augmentation intervient alors que l'intelligence artificielle transforme elle-même la recherche de vulnérabilités. Des modèles d'OpenAI ont déjà été utilisés pour détecter des failles dans des logiciels européens, tandis que d'autres outils automatisés peuvent multiplier les signalements, sans que ceux-ci correspondent toujours à des problèmes réels.Le problème est suffisamment important pour avoir poussé certains projets à revoir leur fonctionnement. En janvier 2026, le projet open source curl a ainsi mis fin à son programme de primes, confronté à une multiplication de rapports peu fiables, notamment générés avec l'IA.
OpenAI ne présente toutefois pas explicitement sa nouvelle politique comme une réponse à ce phénomène. L'entreprise insiste plutôt sur l'intérêt des démonstrations reproductibles, qui permettent à ses équipes de comprendre plus rapidement une vulnérabilité et de la corriger. Les chercheurs fournissant ce type de preuve peuvent notamment bénéficier d'un bonus de 15 %.En parallèle, OpenAI annonce un nouveau sprint de sécurité interne avec Cathedral Systems. Les chercheurs de cette entreprise spécialisée travailleront avec les équipes d’OpenAI, en s’appuyant sur ses modèles, pour rechercher des vulnérabilités et éprouver ses défenses.Cette démarche illustre finalement assez finement l'évolution de la cybersécurité : les IA peuvent aider à trouver davantage de failles, mais elles ne dispensent pas d'en vérifier la réalité et la gravité. Dans cette course aux vulnérabilités, le véritable défi n'est plus seulement de repérer un problème, mais de démontrer qu'il existe et représente un risque réel.