人工智慧研發公司 Open AI 宣布大幅提高其資安漏洞懸賞計畫的獎勵金額，針對旗下 ChatGPT 及開發者工具祭出更高額的回報。此舉旨在吸引全球獨立資安專家協助挖掘內部測試未發現的漏洞，強化平台系統安全性。
核心產品懸賞金額大幅調升 新增三種獎勵加成
根據發布的最新獎勵標準，Open AI 針對中等、高度與重大等級軟體漏洞的獎金中位數，平均調升至原本的四倍以上。其中包含 ChatGPT、Codex 以及 Open AI API 等核心產品線，若發現重大（Critical）等級漏洞，基礎獎勵最高提升至 3 萬美元（約新台幣 96 萬元）；若屬於突破安全邊界的特殊等級漏洞，結合各項獎勵條件後，總獎金最高可達 17 萬 2,000 美元（約新台幣 550 萬元）。
為提升評估效率與合作意願，官方同時規劃了三項額外加碼機制：
- 高品質報告獎勵：提交清楚說明影響範圍、漏洞位置與具體概念驗證（PoC, Proof of Concept）的報告，可獲得更高的計算倍率。
- 忠誠度獎勵：建立五個等級的加成體系，依據研究人員長期參與及貢獻的紀錄給予獎勵加碼。
- 優先活動獎勵：針對新推出的產品功能設立短期研究活動與專屬獎金池，鼓勵及早測試。
公布具體案例與追溯條款 11 月將辦實體測試
為說明運作方式，官方提供數項計算範例。例如，過往回報「唯讀成員可跨權限上傳檔案」的中等漏洞獎金為 750 美元，新制下基礎調升至 2,000 美元，加上品質與忠誠度加成可領取 2,415 美元；若發現「單次點擊即可接管使用者帳號」的重大漏洞，總獎金可達 5 萬 1,577 美元；而可讓外人任意檢視其他使用者 ChatGPT 對話紀錄的特殊漏洞，最終獎金更可突破 17 萬 1,925 美元。
針對追溯條款，已提交但尚未審核撥款的案件將直接適用新規定；若在公告前 30 天內已完成核發，且新制計算金額較高，亦會補發對應差額。此外，資安團隊預計於 11 月 20 日至 21 日參加於美國加州奧克蘭舉行的 PROMPT2PWN 實體活動，現場開放指定目標測試並邀請專業人士交流。
這代表什麼
這項決策反映出 AI 服務在進入大規模商業應用後，資安防護的要求已提升至全球頂級軟體企業的標準。對一般使用者與中小企業而言，不論是採用 ChatGPT 處理日常業務，或是利用 API 串接內部軟體系統，最擔心的無非是公司敏感資料外洩或帳號遭他人非法控制。
提供高額獎金能引導民間「白帽駭客」在惡意威脅者發現漏洞前主動通報並落實修補。這意味著企業在導入相關生成式 AI 工具時，背後防護網將更加嚴密，有助於降低企業推動數位轉型與 AI 化過程中的資訊安全風險。
背景補充
漏洞懸賞計畫（Bug Bounty Program）是大型科技企業普遍採行的安全政策，鼓勵外部資安研究人員負責任地揭露軟體缺陷以換取酬勞。相較於傳統軟體，生成式 AI 系統除了面臨常見的網路權限控管與資料庫漏洞外，還包含提示詞注入（Prompt Injection）、對話隔離失效以及演算法輸出異常等新型態安全挑戰，使得防護範疇與測試複雜度顯著增加。
常見問題
這項漏洞懸賞計畫涵蓋哪些 OpenAI 產品？
懸賞計畫主要涵蓋 ChatGPT、Codex 與 Open AI API 等核心軟體與開發者平台。
如果之前已經提交過漏洞報告，能拿到較高的獎金嗎？
尚未撥款的報告將適用新制；若在公告前 30 天內已領取獎金且新制金額較高，官方也會依法補發差額。
一般企業使用者需要為這些資安漏洞做什麼調整嗎？
不需要，這是由外部資安專家進行的測試與修正。不過企業仍應保持帳號權限管理習慣，並使用官方正規管道接串 AI 服務。