OpenAI paga fino a 172.000 dollari per i bug, mentre il rebrand dei data center fa discutere

Due annunci, una sola azienda, un pomeriggio. Il 3 novembre OpenAI ha quadruplicato i premi del suo bug bounty, secondo The Decoder. Le vulnerabilità critiche nei prodotti principali valgono ora fino a 30.000 dollari per i ricercatori esterni. Le scoperte eccezionali possono arrivare a 100.000 dollari. I bonus per qualità, fedeltà e campagne portano il totale a circa 172.000 dollari.

Lo stesso giorno, The Verge ha riferito che OpenAI ha iniziato a usare l'espressione "compute campus" per i suoi data center. Il rebrand è il più carico politicamente dei due. The Verge ha contato la formula "data center" solo due volte nell'annuncio di circa 900 parole del Grid Protectors Program. "Compute campus" è comparso più spesso. Il programma parte da un sito nella contea di Effingham, in Georgia. Promette che OpenAI "pagherà i costi che creiamo" e "aiuterà le comunità a tenere le luci accese". L'articolo cita anche Holly Elmore, fondatrice e direttrice esecutiva di PauseAI US. Secondo lei l'azienda risponde all'impopolarità dei data center, non alla loro impronta.

Soldi sul tavolo, e da dove arrivano

Il cambiamento del bounty è più facile da quantificare. The Decoder colloca il nuovo premio massimo nella stessa fascia del programma generale di ricompense per vulnerabilità di Google. Resta comunque sotto quanto Apple o Microsoft pagano per gli exploit dei sistemi operativi. OpenAI aggiunge anche un programma fedeltà a cinque livelli e campagne a tempo legate ai lanci di prodotto. Pagherà la differenza tra vecchie e nuove tariffe a chiunque abbia segnalato un difetto negli ultimi 30 giorni. Seguirà uno sprint di sicurezza, con la società di sicurezza Cathedral al lavoro accanto agli ingegneri di OpenAI. Durante l'ultimo, il 25 percento degli ingegneri di prodotto di OpenAI ha lavorato a cercare vulnerabilità, ha detto l'azienda.

Sotto la generosità c'è una logica commerciale. OpenAI chiede a persone esterne di trovare difetti negli stessi prodotti che vende. Le paga in parte con bonus legati alla fedeltà e alle nuove uscite. È un modello di monetizzazione al contrario: l'azienda spende in sicurezza per proteggere i ricavi degli abbonamenti che non può permettersi di interrompere. Il report di The Decoder non indica un budget complessivo del programma. Nemmeno OpenAI ne ha pubblicato uno.

"OpenAI sta chiaramente rispondendo all'impopolarità dei data center", ha detto Holly Elmore, fondatrice e direttrice esecutiva di PauseAI US, in dichiarazioni a The Verge.

Il rebrand non è iniziato questa settimana. Tom's Hardware ha riferito il 2 novembre, citando Axios, che OpenAI stava preparando una spinta di pubbliche relazioni. Comprendeva la rinominazione dei data center in "AI Compute Campuses". La spinta è arrivata prima delle elezioni di midterm del 3 novembre e guardando alle presidenziali del 2028. Chris Lehane, chief global affairs officer di OpenAI, ha detto ad Axios che i midterm sarebbero stati "un po' come un trailer di quello che vedrete nel 2028". Lo stesso report dice che il cambio di terminologia era in discussione da agosto. L'articolo di The Verge aggiunge che il sito di OpenAI non aveva usi precedenti dell'espressione.

Non tutte le storie open source qui riguardano OpenAI, e non tutte riguardano i soldi. The Register ha riferito il 3 novembre che l'architetto cloud Andrija Panić ha realizzato OpenVDDK. È un sostituto open source del Virtual Disk Development Kit di VMware. L'ha costruito dopo che Broadcom ha limitato i download pubblici dello strumento in agosto. Panić ha detto a The Register che il progetto è stato scritto da zero usando documentazione pubblica e test black-box. Non contiene codice VMware e non può scrivere dischi, solo leggerli. Ha anche detto di aver ricevuto segnalazioni di uso in produzione, tra cui un provider cloud tedesco e un'azienda statunitense in migrazione verso Apache CloudStack. Ha sottolineato che quelle segnalazioni "non sono attestazioni di clienti verificate in modo indipendente".

È la questione della monetizzazione open source nella sua forma più pura: uno strumento gratuito che erode il lock-in di un fornitore a pagamento, senza alcun modello di business allegato.

Contratti per la difesa e articoli di matematica

L'altra mossa di OpenAI del 3 novembre va nella direzione opposta. L'azienda ha assunto Dan Driscoll, ex Segretario dell'Esercito, come "Senior Counselor for National Security Modernization", secondo The Decoder, che cita The Wall Street Journal. Anche CNBC ha riportato l'assunzione. Driscoll nel suo ruolo precedente supervisionava quasi un milione di soldati e più di 265.000 dipendenti civili. Ha guidato la modernizzazione dell'AI attraverso un'iniziativa chiamata Project ARIA. The Decoder nota che OpenAI ha vinto un contratto del Pentagono per reti classificate a febbraio 2026, dopo che la rivale Anthropic è stata classificata come "rischio per la supply chain". Il lavoro per il governo è la più antica via di monetizzazione nel settore della difesa, e ora OpenAI si sta dotando di personale per seguirla.

Poi c'è la ricerca. Il media tech tedesco t3n ha riferito il 3 novembre che OpenAI ha pubblicato più di 700 manoscritti in ottobre. Coprivano oltre 370 aree problematiche ed erano stati prodotti con un modello AI non rilasciato, a una media di tre ore per manoscritto. La reazione dei matematici è stata ostile. L'associazione per la matematica umana, come la descrive t3n, ha definito la pubblicazione simultanea di più di 700 file una dimostrazione di potere più che una prova di competenza scientifica. La Società tedesca dei matematici ha sostenuto che l'AI lavora verso i risultati mentre la ricerca matematica riguarda il metodo. t3n cita Demian Nahuel Goos, secondo cui una dimostrazione da sola offre molto poco in termini di comprensione.

Niente di tutto questo genera ricavi diretti, ma modella la reputazione che il programma di bounty e l'assunzione per la difesa cercano di comprare. Il filo comune è che OpenAI spende senza risparmio in sicurezza, lobbying e prestigio mentre i concorrenti provano a vendere software. Il report di The Verge suggerisce che l'azienda creda che un cambio di nome possa disinnescare l'opposizione politica. La storia del bounty di The Decoder suggerisce che creda che il denaro possa comprare la benevolenza dei ricercatori. Nessuna delle due tesi è stata ancora verificata. Il sito in Georgia non ha aperto, e i totali dei premi sono tetti massimi, non medie.