摘要： OpenAI 在 3 月 26 日公布 Safety Bug Bounty，委由 Bugcrowd 營運，徵求第三方提示注入、資料外洩、代理產品未經許可的行動等可能造成實質傷害的 AI 濫用風險。Atlas Browser、Codex、Operator、Connectors 等產品都在範圍內，能穩定重現並附緩解建議的高嚴重度案件最高可獲 7,500 美元。OpenAI 表示 Safety 和 Security 團隊會共同分類並可流轉案件，最終給獎仍屬裁量。
3 月 26 日，OpenAI 對外公布了 Safety Bug Bounty；隔天 3 月 27 日，SecurityWeek 等媒體跟進報導，這項計畫正式確認上路。它走的不是傳統資安懸賞的路數：整個計畫託管在 Bugcrowd 平台上營運，花錢徵求的對象，是那些「構不成資安漏洞、卻會造成實質傷害」的 AI 濫用與安全風險——第三方提示注入、資料外洩攻擊，以及 Agent 產品在使用者授權下做出失當舉動。
對開發者來說，這是頭一遭有第一線大廠把「行為層面的 AI 風險」做成正式商品：有明確的提交窗口，也有白紙黑字的計價規則。Agent 產品規模化上線之後，戰場早已不在記憶體漏洞，而是「模型做了不該做的事」；這項計畫等同替整個產業先草擬了這類問題的分類圖。
收錄範圍：不算資安漏洞的風險，這次也給錢
公告內容顯示，底下幾類問題在傳統資安計畫裡多半會被直接退回，這次卻列為給付對象：
- 來自第三方的提示注入（prompt injection）與資料外洩攻擊
- Agentic 產品在規模化運作下做出未經許可的舉動，以及其他有害的產品表現
- OpenAI 專有資訊遭到曝光，以及帳號與平台完整性方面的弱點
- 設計或實作層面的缺陷，凡可能造成實質傷害即屬之，繞過濫用防護機制也在其列
- Connectors 與 MCP 整合方身上可遭利用來造成實質傷害的漏洞
被指名道姓的，是那些會替使用者執行動作或讀取資料的產品：Atlas Browser、Codex、Operator、Connectors，以及其他 ChatGPT 工具。
給獎金額與送件條件
單一案件最高可獲 7,500 美元，前提是這個高嚴重度問題能「穩定重現」，而且報告附有清楚的建議步驟或緩解方案。OpenAI 也講明，最後給不給獎、給多少，都屬官方裁量；若缺陷構成「直接通往使用者傷害」的路徑，只要同時附上具體可行的修正步驟，仍有機會以個案方式拿到獎金。
說白了，領不領得到賞金，關鍵不在發現了什麼，而在能否把發現整理成一份可重現、可修復的工程文件。籠統地說「模型表現不好」，或只出現一次、再也做不出來的異常，都換不到獎。
Agent 產品為何被鎖定為主要目標
把獲點名的產品清單攤開，意圖一目了然：風險全落在「模型代替你操作電腦」這一類。Operator 負責瀏覽網頁、Codex 會去動 repository、Connectors 經由 MCP 串接第三方服務——在這些場景裡，攻擊者不必擊潰任何軟體，惡意內容只要化成文字溜進上下文，Agent 就可能照攻擊者的劇本行動。
MCP 整合方之所以被明文納入，道理相同：一個 connector 出了漏洞，形同替所有接上它的 ChatGPT 使用者放大攻擊面。OpenAI 把責任界線畫到第三方整合，等於向 Agent 生態系的開發者喊話：整合端的實作品質，會直接左右平台風險。
與既有資安懸賞計畫怎麼分工
OpenAI 原有的 Bug Bounty 計畫負責傳統軟體漏洞；新計畫沿用同一套規則，再疊加若干補充。送進來的案件由 Safety 與 Security 兩個 Bug Bounty 團隊一起分類，必要時還能在兩個計畫之間流轉——就算一筆回報同時踩到安全與濫用，也不會以「不歸我管」為由遭退件。
聚焦生物安全風險的 Bio Bug Bounty 則與上述兩者互不隸屬。三條通路各對應一類風險：傳統漏洞、產品濫用、生物安全。
開發者與資安團隊該怎麼解讀
實際影響有三。其一，打造 Agent 或 MCP 服務的團隊多了一條正式通報窗口，也多了一份官方認定「什麼算實質傷害」的清單，做威脅模型時可以直接拿來當前提。其二，給獎水準偏保守——高嚴重度也只有 7,500 美元——社群已經有人在問：這樣的給獎金額、加上官方實際的給付意願，撐不撐得起頂級研究員的投入；這道防線最終成不成立，得看後續實際付款的紀錄。其三，「可重現性加緩解建議」被訂為硬門檻，形同逼 AI 安全回報走向工程化：空泛的政策批評沒有價碼，能重現、能修復的攻擊路徑才有。