OpenAI 擴大網路安全防禦計劃：投入千萬美元額度，開放 GPT-5.4-Cyber 評估

如果你的開源專案週五深夜突然爆出高危漏洞，你大機率只能從被窩裡爬起來人肉修 Bug。不是誰家都有 24 小時待命的安全大隊。

OpenAI 顯然看準了防禦者的這種窘境。4 月 16 日，OpenAI 宣佈擴大旗下的 Trusted Access for Cyber 計劃，並通過其網路安全資助計劃砸出 1000 萬美元的 API 額度，專門扶持防守方。

這筆錢和資源的邏輯很直接：前沿大模型的網路安全能力不能只留在實驗室裡，得讓真正幹防守的人用得起、用得上。

華爾街巨頭組團，開源安全先拿錢

拿真金白銀額度的首批團隊，都是開源安全和漏洞研究圈的老熟人。

做軟體供應鏈安全的 Socket 和 Semgrep，以及主攻漏洞挖掘與前沿模型結合的 Calif 和 Trail of Bits，已經率先拿到 API 資助。OpenAI 還在繼續招募在開源軟體與關鍵基礎設施裡有漏洞挖掘與修復戰績的團隊。

除了給一線安全團隊送算力，OpenAI 這次拉進來的企業名單也相當豪華。

金融領域的 Bank of America、BlackRock、BNY、Citi、Goldman Sachs、JPMorgan Chase、Morgan Stanley、US Bank，科技與安全領域的 Cisco、Cloudflare、CrowdStrike、NVIDIA、Oracle、Palo Alto Networks、SpecterOps、Zscaler 以及 iVerify 都已經加入進來。

這些機構不僅是數字基建的重度使用者，更重要的是，它們要幫 OpenAI 在複雜的真實業務環境裡測試防護系統，摸索出怎樣既能給防禦者工具，又防著工具被攻擊者拿去用。

官方接單：GPT-5.4-Cyber 進監管沙盒

AI 網路能力最大的爭議永遠是雙刃劍屬性。能幫你自動寫補丁的模型，換個提示詞可能就能挖出零日漏洞。

針對這個顧慮，OpenAI 拿出了專門代號為 GPT-5.4-Cyber 的模型，並直接向兩家官方監管機構交出了訪問許可權。

這兩家分別是美國的 AI 標準與創新中心 CAISI，以及英國的 AI 安全研究所 UK AISI。它們的主要任務，就是對這個網路安全專用模型的能力上限和防護機制做深度評估。

OpenAI 強調，這個受信任訪問計劃的規則是許可權隨著信任、驗證和防護措施逐步放開，讓正規防禦者跑得比駭客更快。

為什麼重要

我們認為，OpenAI 這手操作非常老練，它直接把網路安全的軍備競賽轉化成了自己的生態陣地。

對普通開發者和中小型團隊來說，1000 萬美元的 API 額度如果能讓 Semgrep 和 Socket 這類工具更快把 AI 自動化審計落地，最直接的好處就是開源供應鏈的隱患能少一些。如果你平時管著一大堆依賴包，以後可能靠幾道自動化掃描就能免去不少週末加班。

在行業層面，AI 攻防能力一向是監管部門眼裡的高危禁區。OpenAI 聰明的地方在於，它沒有自己悶頭搞，而是拉來了華爾街半壁江山當背書人，又主動把 GPT-5.4-Cyber 送去英美官方做測評。這種做法既給自己披上了合規護甲，又逼得對手也必須按照這種高門檻的安全信任體系來玩。

不過隱患也明擺著。攻防本就是一體兩面，所謂受信任訪問往往取決於誰在定義合規。一旦專用模型的能力在真實企業環境裡跑順，防守方效率提升的同時，駭客通過各種手段套取類似能力的壓力也會成倍放大。如何在開放工具和防止武器擴散之間拉扯，依然是 OpenAI 留給整個行業的大考。