OpenAI membuka kembali pintu bagi komunitas keamanan siber independen dengan revisi besar-besaran pada Security Bug Bounty-nya. Perusahaan mengangkat hadiah maksimum untuk kerentanan kritis menjadi hingga $172.000 dengan bonus, mengubah struktur bayaran menjadi lima tingkat, dan menambah insentif khusus bagi laporan yang melindungi pengguna atau layanan penting. Rilis pada 2 November 2026 ini sekaligus menandai dimulainya “security sprint” berikutnya yang melibatkan mitra eksternal dan tim internal OpenAI.
Perubahan hadiah ini bukan sekadar angka. OpenAI secara eksplisit menyebut lonjakan hadiah sebagai bagian dari komitmen untuk membentuk lingkungan pertahanan yang lebih kolaboratif, di mana peneliti yang menemukan celah sebelum penyerang mendapat imbalan yang setimpal. Dalam posting resminya, perusahaan menulis bahwa upaya ini bertujuan “memberdayakan peneliti dan terus membangun lingkungan keamanan yang kolaboratif dan berpusat pada komunitas.”
Sebelum revisi ini, program bug bounty OpenAI sudah termasuk dalam daftar favorit peneliti, meskipun hadiahnya sering kali lebih rendah dibanding kompetitor industri. Pada banyak laporannya, temuan kritis di produk inti seperti ChatGPT, Codex, atau API Platform dibayar mulai dari ratusan dolar hingga $6.500 untuk medium, $10.000 untuk high, dan $30.000 untuk critical—tanpa sistem bertingkat yang jelas.
Kini struktur hadiah dirancang lebih transparan. Tingkatan baru menetapkan hadiah dasar untuk temuan medium, high, dan critical yang rata-rata lebih dari empat kali lipat dari midpoints sebelumnya. Temuan kritis pada produk inti seperti ChatGPT, Codex, atau API Platform bisa meraup hingga $30.000. Temuan luar biasa yang dianggap memiliki dampak tertinggi masih bisa mencapai $100.000, dan sekarang bertambah lagi hingga $172.000 dengan sistem bonus bertingkat.
OpenAI juga memperkenalkan sistem lima tingkatan reward yang dikaitkan dengan frekuensi laporan berkualitas tinggi. Artinya, peneliti yang konsisten mengirim temuan serius bisa mendapatkan multiplier tambahan seiring waktu. Detail lengkap aturan dan kriteria klasifikasi kerentanan disematkan kembali di halaman program resmi, menggantikan kebijakan sebelumnya yang lebih generik.
Selain pergantian hadiah, posting resmi OpenAI menekankan adanya “security sprint” baru dalam rencana internal perusahaan. Sprint ini mempertemukan tim keamanan OpenAI dengan mitra eksternal untuk menguji sistem perusahaan menggunakan model-model OpenAI itu sendiri. Tujuan utamanya bukan mencari skor public relations, tetapi memperkuat pertahanan sebelum ancaman lebih besar muncul.
Partner khusus dalam sprint ini adalah Cathedral Systems. Perusahaan tersebut akan mengirim peneliti untuk bekerja berdampingan dengan tim OpenAI, menantang asumsi pertahanan yang ada dan mencari titik lemah yang bisa dilewati model-model perusahaan. OpenAI menyebut pendekatan ini penting karena kompleksitas sistem AI berkembang terlalu cepat untuk hanya diandalkan pada tim internal.
Sprint keamanan juga tidak berhenti pada produk inti. OpenAI mengungkapkan bahwa mereka menyalurkan subsidi akses komputasi senilai $1 miliar selama enam bulan untuk para pembela depan garis depan—organisasi yang melindungi layanan esensial dan infrastruktur digital. Program ini diharapkan bisa memperluas jangkauan uji keamanan ke sistem yang sebelumnya sulit diteliti karena keterbatasan anggaran komputasi.
OpenAI juga menandai perencanaan event keamanan langsung. Pada 20 hingga 21 November 2026, tim keamanan perusahaan akan menghadiri konferensi PROMPT2PWN di Oakland, California. Acara tersebut dirancang agar peneliti bisa menguji target-target tertentu secara langsung dan berdiskusi dengan tim internal mengenai temuan mereka. Adanya event fisik ini menandakan bahwa perusahaan benar-benar menginginkan interaksi lebih intensif dengan komunitas peneliti keamanan, bukan sekadar transaksi laporan bug online.
Tentu, revisi ini tidak berarti bahwa OpenAI membuka gerbang penuh tanpa batas. Program bug bounty tetap mempertahankan daftar produk yang diizinkan untuk diuji, larangan akses terhadap sistem pelanggan, serta batasan penggunaan data dari aktivitas uji. OpenAI menegaskan bahwa mekanisme perlindungan pelanggan tetap menjadi prioritas utama, meskipun model-model mereka kadang bisa mengeksplorasi jalur yang tidak diharapkan.
Secara lebih luas, pergeseran ini juga mengikuti tren industri: vendor AI besar kini tidak bisa lagi hanya mengandalkan uji internal untuk memastikan keamanan. Perlu ekosistem peneliti independen yang diberi imbalan memadai, karena serangan terhadap sistem AI bisa datang dari teknik yang belum terpikirkan oleh tim produk. Dengan menaikkan hadiah, OpenAI mencoba menarik lebih banyak spesialis keamanan untuk memahami model-modelnya sebelum aktor jahat yang lebih terorganisir melakukannya.
Rangkuman perubahan yang diumumkan: - Hadiah kritis naik menjadi $30.000 untuk produk inti, dengan bonus hingga $172.000. - Sistem reward lima tingkatan untuk temuan berulang. - Security sprint berikutnya bekerja sama dengan Cathedral Systems. - Subsidi akses komputasi $1 miliar untuk organisasi pertahanan esensial. - Kehadiran langsung tim OpenAI di PROMPT2PWN, Oakland, 20–21 November 2026.
Langkah ini adalah respons langsung atas realitas baru: sistem AI kini menjadi infrastruktur, dan infrastruktur perlu diteliti dari luar oleh orang yang ahli menemukan celah, bukan hanya oleh orang yang membangunnya. Bagaimana selanjutnya tergantung pada konsistensi OpenAI dalam menerapkan reward, bukan hanya mengumumkannya.
Sumber https://openai.com/index/rewarding-defenders-with-bigger-bug-bounties/ Sumber tambahan: https://openai.com/index/preparing-our-next-security-sprint-to-harden-openai/ Sumber tambahan: https://cellcog.ai/blog/openai-bug-bounty-security-sprint/ Sumber tambahan: https://explainx.ai/blog/openai-bug-bounty-30000-critical-172000-cathedral-security-sprint-2026