Google 升级漏洞赏金计划：给生成式 AI 找茬也能拿奖金

以前黑客帮科技大厂找软件漏洞，挖出的是内存溢出或者未授权访问；现在如果你能让大模型说胡话或者被恶意操弄，也能领到真金白银了。

Google 宣布对其运行多年的漏洞奖励计划进行重大扩展，正式将针对生成式 AI 的特定攻击场景纳入悬赏范围。同时，他们还拿出了两套开源原型工具，准备把传统软件供应链的安全标准搬到 AI 模型上。

抓出大模型越狱，现在也能领赏金

传统的网络漏洞有很成熟的评级体系，但生成式 AI 带来的风险完全不同，比如模型操控、不公平偏见，或者是对数据的严重曲解与幻觉。

为了让白帽黑客知道该挖什么，Google 专门更新了提报指南，把哪些 AI 攻击算作有效漏洞明确划定了范围。

其实在 8 月份，Google 就拉上白宫和其他厂商，在黑客大会 DEF CON 上办了一场史上最大规模的生成式 AI 公开红队测试，让数千名外部安全人员集中找茬。这次扩大赏金计划，算是把当时的临时演练变成了常态化机制。

Google 自己的信任与安全团队虽然经验丰富，但大模型交互千奇百怪，官方也承认仅靠内部团队根本测不过来，必须借外部社区的脑力。

给开源模型贴上「防伪标签」

除了给外部白帽发赏金，Google 还在防范另一个隐蔽的风险：AI 供应链投毒。

现在的开发者经常直接从网上下载预训练模型权重。如果中间有人偷偷篡改了模型文件，或者在训练数据里下毒，下游用的人很难察觉。

Google 开源安全团队这次拉上了开源安全基金会，结合自家的安全 AI 框架，拿出了第一批安全原型工具。

他们利用 Sigstore 给 AI 模型做数字签名，同时用 SLSA 标准来验证模型的溯源证明。说白了，就是给 AI 模型贴上不可篡改的防伪标签，确保你下载的模型权重就是原作者发布的那个，路上没被掉包。

为什么重要

对于安全研究员和开发者来说，AI 安全终于不再是一门单纯的「玄学提示词工程」，而是变成了能拿到现金回报的正规安全分支。如果你擅长越狱或者构造对抗样本，现在有了合法的变现渠道。

更关键的其实是对 AI 供应链的改造。过去大家下载大模型权重，基本全靠信任社区知名度，整个分发链路几乎处于裸奔状态。Google 把传统开源领域非常成熟的软件签名和供应链溯源套在模型上，我们认为这一步走得相当务实，是在用基础设施的成熟经验去补 AI 的安全短板。

不过挑战也很现实：生成式 AI 的漏洞判定边界极其模糊。内存崩溃是客观事实，但多严重的幻觉才算漏洞？多大程度的偏见值得发赏金？这些标准在实际操作中恐怕会引发不少争议。但这至少证明，AI 已经走过了只看跑分和参数的野蛮生长阶段，开始补课工业级工程必备的底层安全了。