OpenAI ha lanzado una nueva iniciativa de seguridad interna denominada "security sprint", cuyo objetivo es colaborar con investigadores externos y sus propios equipos para detectar vulnerabilidades, probar soluciones y reforzar sus plataformas mediante el uso de IA. Este esfuerzo, anunciado el 2 de noviembre, incluye una alianza con Cathedral Systems y el incremento de las recompensas por la detección de errores (bug bounties) para incentivar el reporte de fallos graves.

OpenAI está preparando un nuevo sprint de seguridad interno que reunirá a investigadores externos con sus propios equipos para encontrar vulnerabilidades, probar correcciones y fortalecer sus plataformas utilizando IA.

Anunciado el 2 de noviembre, este esfuerzo incluye una asociación con Cathedral Systems y mayores recompensas por errores (bug bounties) para animar a los investigadores independientes a reportar fallos de seguridad graves.

El anuncio del sprint de seguridad describe un impulso más amplio hacia una defensa continua, donde encontrar debilidades y verificar las reparaciones se convierte en un trabajo constante en lugar de una evaluación puntual.

Los investigadores de Cathedral utilizarán los modelos de OpenAI junto con el personal de la empresa para desafiar las protecciones existentes y aportar enfoques frescos al testeo de sus sistemas.

La asociación con Cathedral amplía las pruebas de seguridad

Gavin Kliger, CEO y cofundador de Cathedral Systems, afirmó que la colaboración combinará la investigación de su equipo con los modelos y la experiencia en seguridad de OpenAI para encontrar debilidades, probar correcciones y mejorar la defensa continua. El anuncio detalla la colaboración planificada, pero no proporciona una fecha de inicio, una lista de objetivos ni hallazgos de vulnerabilidades del próximo sprint.

Este esfuerzo se basa en un sprint anterior en el que OpenAI asignó el 25% de sus ingenieros de producto al trabajo de seguridad. Los ingenieros utilizaron Codex para investigar reportes, reproducir vulnerabilidades en entornos aislados y preparar parches para su revisión. Este enfoque vincula el descubrimiento de vulnerabilidades asistido por IA con comprobaciones prácticas antes de que los cambios propuestos lleguen a los sistemas de producción.

La arquitectura Defense Factory publicada por OpenAI explica cómo funciona ese proceso. Los agentes mapean los sistemas, investigan posibles fallos, confirman si los problemas pueden reproducirse, identifican a los equipos responsables y preparan correcciones probadas. Los entornos aislados proporcionan el código, los servicios y la configuración necesarios para probar una presunta vulnerabilidad sin ejecutar experimentos directamente contra los sistemas en vivo.

La empresa también describe las lecciones de las primeras pruebas. Los hallazgos duplicados ralentizaron la revisión, las calificaciones de severidad necesitaban instrucciones más claras y la falta de dependencias dificultó la ejecución de algunas pruebas. OpenAI afirma que las comprobaciones posteriores expusieron otra brecha importante: un parche fusionado no siempre significaba que la corrección hubiera llegado a cada sistema desplegado. Por lo tanto, la revisión humana y las comprobaciones independientes siguen formando parte del flujo de trabajo.

Esto se basa en las capacidades cubiertas en el informe sobre OpenAI Codex Security, que examinó el papel del agente en el descubrimiento, validación y corrección de vulnerabilidades de software. El nuevo sprint aplica ese enfoque asistido por modelos a las propias defensas de OpenAI con el apoyo añadido de investigación externa.

Mayores recompensas por errores

Junto al sprint, OpenAI ha incrementado las recompensas de su programa de Bug Bounty. Las vulnerabilidades críticas en productos principales, incluidos ChatGPT, Codex y la Plataforma API, ahora pueden ganar hasta 30.000 dólares.

Los hallazgos críticos excepcionales siguen siendo aptos para un premio base de 100.000 dólares, con bonificaciones que elevan los pagos potenciales a unos 172.000 dólares. La calidad del reporte, la lealtad del investigador y las campañas prioritarias afectan el monto final.

Estos cambios amplían el programa previamente cubierto en la expansión de bug bounty de 100.000 dólares de OpenAI. Debes distinguir las recompensas críticas normales de los premios excepcionales, en lugar de tratar el pago más alto anunciado como el estándar.

OpenAI también está conectando este trabajo con Daybreak for Frontline Defenders, su compromiso de 1.000 millones de dólares para acceso subsidiado, formación, soporte y asociaciones durante seis meses. La iniciativa se dirige a servicios esenciales y organizaciones con recursos de seguridad limitados.

Su objetivo declarado refleja el sprint interno: ayudar a los defensores a convertir las debilidades confirmadas en correcciones probadas, mientras se mantiene a las personas responsables de las decisiones trascendentales.