拜登政府發起 AI 網路挑戰賽：聯手 OpenAI 等巨頭修補漏洞

在一年一度的駭客大會 Black Hat 上，美國政府沒有去抓駭客，而是當場發了一張兩千萬美元的英雄帖。

美國白宮在拉斯維加斯宣佈啟動一項為期兩年的「AI 網路挑戰賽」，簡稱 AIxCC。由大名鼎鼎的國防高階研究計劃局 DARPA 牽頭，拉上了 Anthropic、Google、微軟和 OpenAI 四家巨頭一起站臺。

這幾家公司不僅出人，還會拿出自家最前沿的 AI 系統供參賽者呼叫。他們的目標非常明確：用 AI 自動找出並修補支撐美國電網、交通和網際網路核心軟體裡的程式碼漏洞。

拿兩千萬美元當懸賞，DEF CON 連打兩年

這次挑戰賽的獎金總額接近 2000 萬美元。

為了不讓比賽變成大公司和頂級實驗室的獨角戲，DARPA 專門劃出了 700 萬美元，專門資助有心參賽的小微企業。

整個賽程分成了兩輪大考。第一道關卡設在 2024 年春季的資格賽，表現最好的至多 20 支隊伍，會拿到 DEF CON 2024 半決賽的門票。

半決賽決出的前五名不僅能瓜分一筆獎金，還能殺進 DEF CON 2025 的最終總決賽，角逐排名前三的終極大獎。

比賽不是寫完程式碼拿獎金就完事。Linux 基金會旗下的開源安全基金會 OpenSSF 會擔任顧問，任務是讓獲勝團隊跑出來的安全補丁能立刻用在美國關鍵的軟體上。

白宮近期一直在緊盯 AI 風險。上個月剛讓七家頭部公司簽了自願承諾，本週又在 DEF CON 2023 上組織了有史以來第一次多大模型公開評測，相關的總統行政令也正在起草中。

為什麼重要

安全圈一直流傳著一句話：防守方需要防住每一個漏洞，而攻擊者只需要找到一個。

如果你的工作涉及開源專案維護或底層設施，應該深知修補漏洞有多折磨人。人工審計程式碼耗時耗力，往往等駭客打上門了才知道出事。現在把大語言模型拉進戰場，要解決的核心痛點就是自動化和規模化，讓找漏洞、寫補丁的速度趕在漏洞被利用之前。

我們認為，美國政府這次的做法相當聰明。他們沒有停留在發文件倡議安全的虛假繁榮裡，而是用真金白銀搭建擂臺，逼著 OpenAI、Google 這一批擁有最強模型的公司把算力和技術底牌交出來，讓安全社群去打磨實用的防禦工具。

更關鍵的是拉來了 OpenSSF。很多學術或官方比賽的成果最後都爛在報告裡，有了開源社群的背書，贏下來的演算法能無縫整合到真實的開原始碼庫中。

但隱患同樣擺在眼前。能極其聰明地找出漏洞並打好補丁的 AI，換一個提示詞或稍作微調，大機率就是目前世界上最危險的自動化挖洞和攻擊武器。這場防禦試驗能不能跑在駭客前面，甚至技術擴散後會不會反向加劇攻擊的烈度，看起來依然充滿變數。