OpenAI zahlt Sicherheitsforschern deutlich mehr
Von Jörg SchockGründer · testet Smart Home seit den ersten Funksteckdosen im eigenen Haus · davor 35 Jahre in verschiedenen Funktionen der Polizei
Kurz gesagt: OpenAI zahlt für kritische Lücken in ChatGPT oder Codex künftig bis zu 30.000 Dollar, für außergewöhnliche Funde bis zu 100.000 Dollar. Dazu kommt ein interner Sicherheitssprint mit der Firma Cathedral. Für Nutzer in Deutschland ändert sich nichts direkt, mittelbar sollen Lücken schneller geschlossen werden.
Symbolbild: KI-generiert
OpenAI baut sein Bug-Bounty-Programm kräftig aus. Nach Angaben von The Decoder vervierfacht das Unternehmen die Prämien für Sicherheitsforscher, die Schwachstellen in seinen Produkten melden.
Was neu ist
Für kritische Lücken in Kernprodukten wie ChatGPT oder Codex sind bis zu 30.000 Dollar vorgesehen. Für außergewöhnliche Funde liegt die Spitze bei 100.000 Dollar. Rechnet man Qualitäts-, Treue- und Kampagnenboni ein, ergibt sich eine Obergrenze von rund 172.000 Dollar. Neu ist außerdem ein Treueprogramm mit fünf Stufen sowie zeitlich begrenzte Kampagnen, die für neue Funktionen erhöhte Prämien zahlen. Wer in den vergangenen 30 Tagen eine Lücke gemeldet hat, bekommt die Differenz zu den neuen Sätzen nachgezahlt.
Der Security Sprint
Parallel bereitet OpenAI einen internen Sicherheitssprint vor, bei dem die eigenen Systeme gehärtet werden sollen. Die Sicherheitsfirma Cathedral soll gemeinsam mit OpenAI-Teams testen. Beim vorigen Sprint suchten laut OpenAI 25 Prozent der Produktingenieure nach Schwachstellen. Zu Dauer und Starttermin des neuen Sprints liegen uns keine Angaben vor.
Einordnung
Die Summen liegen in der Größenordnung von Googles allgemeinem Programm, aber unter den Spitzenprämien von Apple und Microsoft für Betriebssystem-Lücken. Eine Randnotiz: Frühere Berichte aus dem März 2025 nannten bereits 100.000 Dollar als Höchstsatz. Die Vervierfachung betrifft deshalb vermutlich vor allem die regulären Stufen darunter. Das ist unsere Lesart, OpenAI hat sie uns nicht bestätigt.
Für Nutzer in Deutschland, die ChatGPT oder Codex beruflich einsetzen, ist das ein gutes Zeichen: Höhere Prämien machen es für Forscher attraktiver, Lücken zu melden statt sie zu verkaufen. Eine Garantie für sichere Produkte ist es nicht. Wer sensible Daten verarbeitet, sollte weiterhin Zugriffsrechte knapp halten und Zwei-Faktor-Anmeldung nutzen.
Hinweis zur Recherche: Die Zahlen stammen aus der Berichterstattung von The Decoder. Eine zweite, unabhängige Quelle zur neuen Prämienstruktur und zu Cathedral konnten wir bis jetzt nicht finden. Benchmarks sind bei dieser Meldung nicht einschlägig, da es um kein Modell geht.