Investigador denuncia que OpenAI pagó 300 dólares por un fallo grave
La vulnerabilidad habría permitido usar modelos de pago sin clave de API ni cuenta, según Oliver Fish.
El investigador de seguridad Oliver Fish denunció que OpenAI le pagó 300 dólares por descubrir y reportar una vulnerabilidad que, según explica, permitía acceder gratis a los modelos de pago de la compañía sin clave de API ni cuenta.
Fish publicó este miércoles en su cuenta de X una captura de pantalla con el monto de la recompensa recibida a través del programa de recompensas de OpenAI. De acuerdo con su explicación, el fallo daba acceso a la API interna Responses de la empresa y no requería autenticación.
El investigador consideró insuficiente el pago debido a la gravedad de la vulnerabilidad y aseguró que ya no tiene motivos para reportar a OpenAI otros fallos que encuentre.
El caso también llegó a Reddit, donde varios usuarios coincidieron en que los 300 dólares son una recompensa baja para un exploit que no requería autenticación. Algunos señalaron que habría sido más rentable utilizar la vulnerabilidad en beneficio propio, aunque otros recordaron las posibles consecuencias legales de hacerlo.
Otros usuarios aprovecharon la discusión para cuestionar la ética corporativa y compartir experiencias similares con fallos reportados a Microsoft, Apple o Google.
Recompensas de otros programas
En julio de 2025, según el medio 9to5Mac, el investigador RenwaX23 cobró 1,000 dólares por el fallo CVE-2025-30466, que ya fue corregido en el navegador Safari 18.4.
Apple había calificado esa vulnerabilidad con un nivel de gravedad de 9.8 sobre 10, aunque su programa de recompensas llega a pagar hasta 2 millones de dólares.
OpenAI dispone de un programa en Bugcrowd, cuyo rango habitual de recompensas va de 200 a 6,500 dólares por vulnerabilidad. Sin embargo, la compañía se reserva el derecho de modificar la prioridad y el pago según la probabilidad o el impacto del fallo.
Por ello, los 300 dólares sugieren que OpenAI consideró la vulnerabilidad de gravedad baja. Hasta el momento, la empresa no se ha pronunciado públicamente sobre las críticas de Fish ni sobre el pago.
Fuente: FSOCIETY
