The Decoder 报道，OpenAI 漏洞赏金翻四倍，最高 17.2 万美元。大家正算着能拿多少，细看细则却发现事情没那么简单。
- OpenAI 核心产品严重漏洞赏金提至 3 万美元，exceptional findings 最高 10 万，叠加奖金可达 17.2 万美元。
- 新增五级忠诚度计划与限时活动，过去 30 天提交漏洞的白帽子可追溯补差价。
- 联合安全公司 Cathedral 开启新一轮安全冲刺，上次有 25% 的产品工程师参与找漏洞。
讲真，看到 17.2 万美元这个数字，不少打工人可能觉得 OpenAI 财大气粗。但咱们得看清一个事实，这钱不是随便敲两行代码就能拿的。核心产品 ChatGPT 或 Codex 的严重漏洞，基础价也就 3 万美元。想要拿到那 10 万美元的 exceptional findings，你得挖出那种能直接动摇产品根基的致命缺陷。至于剩下的 7 万多美元，那是靠长期提交、质量过硬以及踩中限时活动才能叠上去的辛苦钱。
这笔钱在行业里算什么水平？The Decoder 特意去对比了 Google 的通用漏洞奖励计划，两者差不多在一个量级。但如果你拿它去跟苹果或者微软比，针对操作系统级别的漏洞，OpenAI 的出价还是差了一截。为了留住这些黑客大佬，OpenAI 这次还搞了个五级忠诚度计划，并且弄了些跟新功能发布挂钩的限时活动。最实在的是，只要你在过去 30 天内报过漏洞，新旧费率的差额直接 retroactively 补给你。
除了发钱，OpenAI 还在内部搞了个 security sprint。他们拉来了安全公司 Cathedral，跟自家工程师一起给系统做压力测试。据 The Decoder 透露，在上一次冲刺里，OpenAI 足足有 25% 的产品工程师放下了手里的需求，专门去挖自家产品的漏洞。这波操作确实把白帽子们哄得很开心，但也透着一股焦虑。
别被 17.2 万的噱头忽悠了，咱们来算笔账。OpenAI 这次大张旗鼓地搞安全冲刺，拉上 Cathedral 一起压力测试，甚至让四分之一的产品工程师去挖漏洞，这其实是花钱买平安。现在大家都盯着 AI 产品，前阵子 The Decoder 还发过一篇文章，讲 AI agents 怎么黑进 Anthropic 的系统。连号称防御最强的模型公司都被 AI agents 搞出安全漏洞，OpenAI 能不慌吗？
用 17.2 万美元的上限，去堵住可能让 ChatGPT 停摆的致命漏洞，这笔买卖太划算了。相比于产品宕机一天损失的订阅费和品牌信任，这点赏金连零头都不算。而且，那个五级忠诚度计划很有意思。这就是在圈养顶尖白帽子。通过长期绑定，让那些最懂 OpenAI 系统架构的黑客，优先把漏洞交给官方，而不是卖给黑产或者竞争对手。这才是 OpenAI 真正在意的护城河。
作为每天靠 ChatGPT 和 Codex 续命的普通白领，这事跟咱们有什么关系？关系大了。首先，你用的 AI 工具正在变安全，但也意味着它可能会变得更保守。安全冲刺和漏洞修复，往往伴随着更严格的权限控制和输入审查。以后你想用 Codex 跑点擦边代码，或者让 ChatGPT 处理一些敏感业务数据，大概率会被更频繁地拦截。应对策略：在公司里用 AI 处理机密文件时，务必做好数据脱敏，把核心变量替换成假名，别把原始数据直接扔给未脱敏的接口，否则一旦触发安全风控，账号被封禁的损失只能自己扛。
给想搞副业的打工人提个醒。如果你懂点安全，别总盯着大厂的常规漏洞。OpenAI 这次搞了跟新功能发布挂钩的限时活动，这才是薅羊毛的重点。新功能刚上线时，往往是安全防御最薄弱的时候。去盯那些刚发布的 API 或者新插件，拿到高额赏金的概率比死磕核心模型大得多。具体操作清单：第一，订阅官方更新日志，新功能发布 48 小时内去测边界条件；第二，重点测试数据注入和权限越界，这是 AI 产品最容易翻车的地方。想薅羊毛的，先去盯刚发布的 API，别死磕核心模型。
相关资源链接：
看完想聊两句？
你选在本地跑开源模型，还是继续用 ChatGPT 挨安全审查？
往期推荐
- ·
- ·AI写代码不等于取代程序员，原帖作者揭示系统兜底真相
- ·OpenAI CEO会见50名高管，只为在韩国囤积AI芯片
点击公众号头像 → 历史消息，可翻阅以上文章
