OpenAI 推出漏洞悬赏计划，最高 2 万美元

很多科技公司都会推出漏洞悬赏计划，为的是让外部安全研究人员能够积极发现和报告漏洞，以此来提升企业安全。

日前，正处于变革漩涡最中心的 AI 研究公司 OpenAI 宣布推出一项漏洞悬赏计划（Bug Bounty Program），该计划的目的也一样，就是希望研究人员可以帮助解决语言模型在日益强大的同时所带来的网络安全风险。

该计划由 OpenAI 与网络安全公司 Bugcrowd 合作运营，研究人员可以将找到的漏洞报告给 OpenAI，之后 OpenAI 将根据漏洞严重程度给予 200 到 2 万美元不等的经济奖励。该计划也是 OpenAI 为开发更安全和更先进 AI 的一种承诺，也符合 OpenAI 的宗旨 ——「我们的使命是确保通用人工智能造福全人类」。

在这类 AI 产品帮助用户提高效率的同时，人们对可以生成文本、图像和其他媒体内容的人工智能系统的漏洞和安全性也越来越关注。

上个月，ChatGPT 曾因为开源库 redis-py 中的一个漏洞导致包括用户的姓名、电子邮件地址、账单地址、信用卡号码的最后四位数和信用卡到期日等信息泄漏。近日，还有一个名叫 Alex Albert 的大学生通过 “越狱” 绕过了 ChatGPT 内置的安全措施，让 AI 可以教唆犯罪、发表仇恨言论等，这也暴露出 AI 潜在的安全漏洞。

虽然 OpenAI 推出的漏洞悬赏计划看似很好，不过这个悬赏计划适用的范围却比较有限。例如，该计划的官方网站就指出："与模型提示词和 AI 回复内容有关的问题严格来说不在范围之内，除非它们对范围内的服务产生了额外的可直接验证的安全影响，否则不会得到奖励。”因此让模型告诉你如何做坏事、编写恶意代码等都不在悬赏范围内。

这项计划对安全研究员也同样有着限制，比如研究人员只能与自己的帐户进行交互，不能访问、修改或使用属于他人的数据。如果漏洞暴露了此类数据，则需要停止测试，立即提交报告，并删除所有信息副本。研究人员还需要对发现的任何漏洞保密，直到 OpenAI 的安全团队授权后才能公布。

截至发稿，目前 OpenAI 已经奖励了 15 个漏洞，漏洞的平均验证时间是 5 个小时。