OpenAI 推出漏洞披露新規：AI 頻繁挖出零日漏洞，修復不設死限

過去大家都擔心大模型胡亂寫程式碼會引入安全漏洞，但現實走得比想像中更快：AI 已經反客為主，變成了一個不知疲倦的程式碼審計員。

OpenAI 正式釋出了一份「外向協同漏洞披露政策」（Outbound Coordinated Disclosure Policy）。這份檔案的核心目的很明確：告訴全世界，當 OpenAI 的系統在別人的軟體裡挖出安全漏洞時，他們打算怎麼負責任地處理。

OpenAI 透露，他們開發的大模型系統其實已經在第三方軟體和開源專案中挖出過零日漏洞（zero-day）。隨著模型理解程式碼、推理邏輯的能力越來越強，這種發現只會越來越頻繁。

預設不設倒計時，給開發者留退路

傳統網路安全圈有一套通行的規則，安全團隊發現漏洞後通常會給廠商一個固定的修復視窗，比如標準的 90 天，到期不管修沒修好都會公開細節。

但 OpenAI 決定打破這個慣例。在新政策裡，他們針對披露時間表採取了明確傾向開發者的態度：預設不設固定的修復死限。

OpenAI 的解釋很現實。AI 系統正在以驚人的規模和深度分析程式碼，未來被抓出來的漏洞數量會大幅增加，複雜度也會越來越高。如果生硬地套用以前的固定倒計時，很多開源專案維護者和商業軟體團隊根本招架不住。

給開發者留出充足的時間，深入協作把漏洞修紮實，比卡著死線催命更重要。當然，OpenAI 也留了一條後路：如果情況涉及重大的公共利益，他們依然保留主動公開的權利。

自動化審計時代的彙報準則

這份新規不僅涵蓋 OpenAI 在日常研究或內部使用第三方系統時的偶然發現，也包含了針對依賴的開原始碼所做的定向審計，以及利用 AI 工具進行的大規模自動化程式碼審查。

針對這些發現，OpenAI 明確了幾項核心原則。首先是注重實際影響與合作，其次是預設保持低調和私下溝通，除非萬不得已絕不提前張揚。

同時，他們希望做到「高規模與低摩擦」，儘量減少給廠商和開源維護者帶來的溝通負擔，並在適當時機提供清晰的貢獻歸屬。如果外界對披露細節有疑問，還可以通過專門設立的郵箱與他們溝通。

為什麼重要

我們認為，OpenAI 這次推出政策的時機拿捏得很準，也相當務實。

對普通開發者和開源維護者來說，這無疑是個好訊息。開源社群大多依靠業餘精力維護，最怕大公司突然丟過來一個嚴重漏洞，還附帶倒計時的公開通牒。OpenAI 選擇預設不設死限，既是對維護者現實處境的體貼，也是一種聰明的拉攏。

但在行業層面上，這其實預示著整個網路安全遊戲規則的質變。當 AI 具備了超大規模挖掘零日漏洞的能力，漏洞發現的邊際成本已經被徹底打了下來。過去建立在「人力挖掘速度有限」基礎上的傳統披露機制，在面對 AI 的高併發輸出時已經顯得有些過時。

不過，這種做法並非沒有隱患。「不設死線」雖然體貼，卻也可能變成某些商業軟體拖延修復的藉口。如何在保護開發者與督促廠商儘早修復之間保持平衡，最後的主導權依然握在 OpenAI 手裡。但無論如何，由 AI 牽引的安全攻防新時代，已經真正拉開帷幕了。