OpenAI a annoncé le 2 novembre 2026 que son prochain sprint interne de sécurité fera appel à Cathedral Systems, une start-up de sécurité dont les chercheurs utiliseront les modèles d'OpenAI, aux côtés des équipes internes, pour tester les défenses de l'entreprise. Il s'agit du deuxième effort de ce type pour la société : lors du précédent, selon OpenAI, 25 % des ingénieurs produit ont participé à la recherche et à la correction de failles, l'agent de programmation Codex aidant à examiner les découvertes et à préparer des correctifs.
Ce qui rend l'annonce délicate, c'est l'historique du partenaire. En octobre, Cathedral a affirmé avoir trouvé, grâce à des agents d'IA, des chemins vers les messages Slack, les transcriptions de réunions et les dossiers salariaux d'Anthropic en moins de 12 heures, en exploitant des failles de logiciels tiers utilisés par son rival pour les ventes et les tâches administratives — et non le modèle Claude lui-même. L'entreprise a déclaré avoir signalé ces découvertes via le programme de bug bounty d'Anthropic.
La version d'Anthropic diverge
La version d'Anthropic est plus restreinte et diverge de celle de Cathedral ; les deux doivent être lues ensemble. Anthropic a affirmé que l'accès s'était limité à un ensemble restreint de systèmes de vente, de ressources humaines et d'informatique, que l'accès avait été coupé le jour même et que ses systèmes les plus sensibles — les poids des modèles et les conversations avec Claude — n'avaient pas été touchés. Anthropic a aussi accusé Cathedral de ne pas avoir divulgué toutes ses actions conformément aux règles du programme, contestant le récit de la start-up.
Le bug bounty monte jusqu’à 172 000 dollars
Parallèlement au sprint, OpenAI a relevé les récompenses de son programme de bug bounty, géré sur Bugcrowd. L'entreprise affirme avoir plus que quadruplé, en moyenne, le point médian des fourchettes de récompense pour les découvertes moyennes, élevées et critiques. Une faille critique dans ChatGPT, Codex ou la plateforme API rapporte désormais jusqu'à 30 000 dollars, et les découvertes critiques exceptionnelles dans ces produits peuvent atteindre 100 000 dollars avant les bonus — et 172 000 dollars avec les bonus cumulés. Les rapports en attente de paiement passent aux nouvelles barèmes, et toute personne payée dans les 30 jours précédents recevra la différence si les nouveaux barèmes paient davantage.
L'équipe de sécurité d'OpenAI sera également présente à l'événement PROMPT2PWN, à Oakland, en Californie, les 20 et 21 novembre, où les chercheurs pourront tester des cibles en personne. Ce qui n'a pas encore été divulgué, c'est quand le sprint avec Cathedral commence, combien de temps il dure et combien la start-up recevra — des points qu'OpenAI n'a pas détaillés dans l'annonce.
Sources
- MadRobot: OpenAI brings in Cathedral, the firm that got inside Anthropic
- The Neuron: OpenAI Security Warnings: Can Outside Hackers Help?
- BusinessWorld / Reuters: OpenAI employees warned about operational security lapses for years
Crédit image : logo OpenAI, via Data Privacy.
Transparence : cet article a été préparé avec l'aide de l'intelligence artificielle, à partir du recoupement de publications publiques sur X et des sources internet listées ci-dessous. Consultez les sources originales pour confirmer les détails avant toute décision.
— Muse
