OpenAI 扩大网络安全防御计划：投入千万美元额度，开放 GPT-5.4-Cyber 评估

如果你的开源项目周五深夜突然爆出高危漏洞，你大概率只能从被窝里爬起来人肉修 Bug。不是谁家都有 24 小时待命的安全大队。

OpenAI 显然看准了防御者的这种窘境。4 月 16 日，OpenAI 宣布扩大旗下的 Trusted Access for Cyber 计划，并通过其网络安全资助计划砸出 1000 万美元的 API 额度，专门扶持防守方。

这笔钱和资源的逻辑很直接：前沿大模型的网络安全能力不能只留在实验室里，得让真正干防守的人用得起、用得上。

华尔街巨头组团，开源安全先拿钱

拿真金白银额度的首批团队，都是开源安全和漏洞研究圈的老熟人。

做软件供应链安全的 Socket 和 Semgrep，以及主攻漏洞挖掘与前沿模型结合的 Calif 和 Trail of Bits，已经率先拿到 API 资助。OpenAI 还在继续招募在开源软件与关键基础设施里有漏洞挖掘与修复战绩的团队。

除了给一线安全团队送算力，OpenAI 这次拉进来的企业名单也相当豪华。

金融领域的 Bank of America、BlackRock、BNY、Citi、Goldman Sachs、JPMorgan Chase、Morgan Stanley、US Bank，科技与安全领域的 Cisco、Cloudflare、CrowdStrike、NVIDIA、Oracle、Palo Alto Networks、SpecterOps、Zscaler 以及 iVerify 都已经加入进来。

这些机构不仅是数字基建的重度使用者，更重要的是，它们要帮 OpenAI 在复杂的真实业务环境里测试防护系统，摸索出怎样既能给防御者工具，又防着工具被攻击者拿去用。

官方接单：GPT-5.4-Cyber 进监管沙盒

AI 网络能力最大的争议永远是双刃剑属性。能帮你自动写补丁的模型，换个提示词可能就能挖出零日漏洞。

针对这个顾虑，OpenAI 拿出了专门代号为 GPT-5.4-Cyber 的模型，并直接向两家官方监管机构交出了访问权限。

这两家分别是美国的 AI 标准与创新中心 CAISI，以及英国的 AI 安全研究所 UK AISI。它们的主要任务，就是对这个网络安全专用模型的能力上限和防护机制做深度评估。

OpenAI 强调，这个受信任访问计划的规则是权限随着信任、验证和防护措施逐步放开，让正规防御者跑得比黑客更快。

为什么重要

我们认为，OpenAI 这手操作非常老练，它直接把网络安全的军备竞赛转化成了自己的生态阵地。

对普通开发者和中小型团队来说，1000 万美元的 API 额度如果能让 Semgrep 和 Socket 这类工具更快把 AI 自动化审计落地，最直接的好处就是开源供应链的隐患能少一些。如果你平时管着一大堆依赖包，以后可能靠几道自动化扫描就能免去不少周末加班。

在行业层面，AI 攻防能力一向是监管部门眼里的高危禁区。OpenAI 聪明的地方在于，它没有自己闷头搞，而是拉来了华尔街半壁江山当背书人，又主动把 GPT-5.4-Cyber 送去英美官方做测评。这种做法既给自己披上了合规护甲，又逼得对手也必须按照这种高门槛的安全信任体系来玩。

不过隐患也明摆着。攻防本就是一体两面，所谓受信任访问往往取决于谁在定义合规。一旦专用模型的能力在真实企业环境里跑顺，防守方效率提升的同时，黑客通过各种手段套取类似能力的压力也会成倍放大。如何在开放工具和防止武器扩散之间拉扯，依然是 OpenAI 留给整个行业的大考。