11月3日、The Decoderが「Bug hunters can now earn up to $172,000 from OpenAI as company ramps up security」と題した記事を公開した。OpenAIが外部セキュリティ研究者向けのバグバウンティプログラムを刷新し、報酬上限を従来比約4倍となる最大**$172,000（約2,500万円／1ドル≒145円換算）**に引き上げた。AIプロダクトに特化したバグバウンティとしては業界最高水準クラスに踏み込んだ今回の改定は、外部研究者の参加を本格的に取り込もうとするOpenAIの意図を鮮明に示している。
※「バグバウンティ」とは、ソフトウェアやサービスの脆弱性を発見・報告した外部研究者に企業が報奨金を支払う制度のことを指す。
報酬を最大4倍に引き上げ、上限は約$172,000（約2,500万円）
OpenAIは、外部セキュリティ研究者向けのバグバウンティプログラムの報酬体系を刷新した。
今回の改定で最も目を引くのは、報酬上限の大幅な引き上げだ。ChatGPTやCodexといったコアプロダクトに対するクリティカルな脆弱性の報告には最大**$30,000が支払われる。さらに、特に価値の高い発見には最大$100,000が上乗せされ、後述する品質ボーナス・ロイヤルティボーナス・キャンペーンボーナスを合算すると、合計で約$172,000（約2,500万円）**に達する可能性がある。
これは従来の水準から約4倍の引き上げとなる。
報酬体系の全体像は以下の通りだ：
- クリティカル脆弱性の基本報酬：最大 $30,000
- 特に優れた発見への追加報酬：最大 $100,000
- 品質・ロイヤルティ・キャンペーンボーナス込みの最大額：約 $172,000（約2,500万円）
また、過去30日以内に脆弱性を報告した研究者には、旧報酬と新報酬の差額が遡及して支払われる。すでに報告済みの案件を持つ研究者にとっても恩恵がある措置だ。
業界水準と比べてどうか
今回の引き上げにより、OpenAIの報酬水準はGoogleの一般的な脆弱性報奨プログラム（Google VRP）と同程度に達したとされる。Google VRPはAndroidやChrome等のプラットフォーム脆弱性に対して最大$15,000〜$31,337程度を設定しており（カテゴリにより異なる）、OpenAIの基本報酬上限$30,000はほぼ同等の水準といえる。一方、AppleやMicrosoftがOSレベルのゼロデイエクスプロイトに対して提示するトップティアの報酬（Appleは最大$1,000,000、Microsoftは最大$250,000）には届いていない。
ただし、AIプロダクトに特化したバグバウンティとしては高水準であり、ロイヤルティボーナスやキャンペーンボーナスを加えた最大$172,000という天井は、AIサービス専業のプログラムとしては異例の金額だ。外部研究者の参加を積極的に促す姿勢が示されている。
新設された5段階ロイヤルティプログラムと期間限定キャンペーン
今回の刷新で新たに加わった仕組みが2つある。
1つ目は5段階のロイヤルティプログラム。継続的に脆弱性を報告する研究者に対して、実績に応じて報酬が積み増されていく仕組みだ。一度きりの報告ではなく、長期的な貢献を促すことで、質の高いセキュリティ研究者をプログラムにつなぎ止める狙いがある。
2つ目は期間限定キャンペーン。新機能のリリースに合わせて、特定の対象領域について報酬が通常より高く設定される時限式のプログラムだ。新機能のセキュリティ検証を外部の目線で素早く行う狙いがある。
社内でも同時並行でセキュリティスプリントを実施
外部への報奨強化と並行して、OpenAIは内部のセキュリティスプリント（集中的な脆弱性調査期間）も準備中だ。AIサイバー防衛の分野で実績を持つセキュリティ企業のCathedralがOpenAI自身のエンジニアと連携し、システムのストレステストを実施する。
前回のスプリントでは、OpenAIのプロダクトエンジニアの25%が脆弱性探索に参加したとOpenAIは説明している。外部バウンティと内部スプリントを組み合わせた二段構えの体制は、AIプロダクトのセキュリティ確保に対するOpenAIの本気度を示すものだ。報告件数を増やすための報酬引き上げという「アメ」と、自社エンジニアを巻き込んだ内部精査という「内製」を同時に走らせる構図は、AI企業のセキュリティ戦略として注目に値する。
詳細はBug hunters can now earn up to $172,000 from OpenAI as company ramps up securityを参照していただきたい。
