OpenAI 推出漏洞披露新规：AI 频繁挖出零日漏洞，修复不设死限

过去大家都担心大模型胡乱写代码会引入安全漏洞，但现实走得比想象中更快：AI 已经反客为主，变成了一个不知疲倦的代码审计员。

OpenAI 正式发布了一份「外向协同漏洞披露政策」（Outbound Coordinated Disclosure Policy）。这份文件的核心目的很明确：告诉全世界，当 OpenAI 的系统在别人的软件里挖出安全漏洞时，他们打算怎么负责任地处理。

OpenAI 透露，他们开发的大模型系统其实已经在第三方软件和开源项目中挖出过零日漏洞（zero-day）。随着模型理解代码、推理逻辑的能力越来越强，这种发现只会越来越频繁。

默认不设倒计时，给开发者留退路

传统网络安全圈有一套通行的规则，安全团队发现漏洞后通常会给厂商一个固定的修复窗口，比如标准的 90 天，到期不管修没修好都会公开细节。

但 OpenAI 决定打破这个惯例。在新政策里，他们针对披露时间表采取了明确倾向开发者的态度：默认不设固定的修复死限。

OpenAI 的解释很现实。AI 系统正在以惊人的规模和深度分析代码，未来被抓出来的漏洞数量会大幅增加，复杂度也会越来越高。如果生硬地套用以前的固定倒计时，很多开源项目维护者和商业软件团队根本招架不住。

给开发者留出充足的时间，深入协作把漏洞修扎实，比卡着死线催命更重要。当然，OpenAI 也留了一条后路：如果情况涉及重大的公共利益，他们依然保留主动公开的权利。

自动化审计时代的汇报准则

这份新规不仅涵盖 OpenAI 在日常研究或内部使用第三方系统时的偶然发现，也包含了针对依赖的开源代码所做的定向审计，以及利用 AI 工具进行的大规模自动化代码审查。

针对这些发现，OpenAI 明确了几项核心原则。首先是注重实际影响与合作，其次是默认保持低调和私下沟通，除非万不得已绝不提前张扬。

同时，他们希望做到「高规模与低摩擦」，尽量减少给厂商和开源维护者带来的沟通负担，并在适当时机提供清晰的贡献归属。如果外界对披露细节有疑问，还可以通过专门设立的邮箱与他们沟通。

为什么重要

我们认为，OpenAI 这次推出政策的时机拿捏得很准，也相当务实。

对普通开发者和开源维护者来说，这无疑是个好消息。开源社区大多依靠业余精力维护，最怕大公司突然丢过来一个严重漏洞，还附带倒计时的公开通牒。OpenAI 选择默认不设死限，既是对维护者现实处境的体贴，也是一种聪明的拉拢。

但在行业层面上，这其实预示着整个网络安全游戏规则的质变。当 AI 具备了超大规模挖掘零日漏洞的能力，漏洞发现的边际成本已经被彻底打了下来。过去建立在「人力挖掘速度有限」基础上的传统披露机制，在面对 AI 的高并发输出时已经显得有些过时。

不过，这种做法并非没有隐患。「不设死线」虽然体贴，却也可能变成某些商业软件拖延修复的借口。如何在保护开发者与督促厂商尽早修复之间保持平衡，最后的主导权依然握在 OpenAI 手里。但无论如何，由 AI 牵引的安全攻防新时代，已经真正拉开帷幕了。