OpenAI将入侵自己系统的黑客转为合作伙伴：从$6500赏金到前沿模型访问权

2026年11月6日，OpenAI官方博客发布公告：公司正式与网络安全公司Hacktron建立合作关系，双方工程师将联合选定高优先级测试目标，重点排查AI系统与第三方服务之间的连接漏洞。作为合作条件，Hacktron获得通过OpenAI"Daybreak Red"计划访问其前沿网络安全模型的权限。

2026年7月25日，Hacktron研究人员向OpenAI的漏洞赏金平台Bugcrowd提交报告，记录了一条攻击链：他们在不到72小时内，从OpenAI的社区论坛打入公司内部代码仓库。

攻击路径如下：研究人员向OpenAI的Discourse论坛上传一张精心构造的HEIF格式图片。论坛的图片处理模块依赖存在已知漏洞的libheif版本，触发堆溢出内存漏洞，实现远程代码执行（RCE）。站稳脚跟后，他们发现OpenAI的单点登录（SSO）机制存在缺陷，借此横向跳转至多名员工的ChatGPT和Codex账号，并通过Codex关联的GitHub权限，访问OpenAI内部私有代码仓库。

为证明访问权真实有效且不读取敏感代码，研究人员用一名员工的Codex账号在内部monorepo里提交一个无害的Pull Request，然后主动停止测试。

OpenAI在收到报告约14小时后确认修复SSO问题；Discourse在接到通知两天后完成论坛端补丁。2026年9月1日，OpenAI向Hacktron支付6500美元漏洞赏金。9月13日，Hacktron公开披露完整攻击过程。Hacktron在此次渗透中使用Anthropic旗下的Claude作为辅助工具。

从"对手"到"战友"：合作逻辑的背后

Hacktron是一家专注于AI驱动安全工具的公司，主要产品包括代码审查AI代理、渗透测试自动化和红队测试服务。其核心竞争力在于将大语言模型的推理能力接入攻击性安全工作流。

Hacktron首席执行官Zayne Zhang在公告中说："网络安全的未来不会由谁拥有最大的安全团队来决定，而是由谁能最好地将人类创造力与AI驱动能力相结合来决定。"他补充称，OpenAI"通过将前沿网络安全模型交到安全研究人员手中，树立了强有力的榜样"。

Daybreak Red：访问架构

Hacktron获得的Daybreak Red访问权限，是OpenAI在2026年8月10日正式公布的分层网络安全计划的核心组成部分。Daybreak目前分为两个层级：

• Blue层：面向大多数防御性安全团队，提供附带防护措施的通用前沿模型；
• Red层：面向经授权从事漏洞研究、漏洞利用验证和红队测试的组织，提供专门训练的网络安全模型，包括GPT-5.6-Cyber及后续的GPT-6 Cyber版本。

申请Red层访问需要经过身份验证、账户安全审查、使用限制认定和法律声明。OpenAI给Hacktron的Red层访问，意味着后者将能用这些专门针对攻防场景训练的模型来发现OpenAI自身的漏洞。

就在与Hacktron宣布合作的同一周，OpenAI还宣布Cathedral的研究人员将加入其下一次安全冲刺，同时上调漏洞赏金计划的奖励上限。

真正的漏洞在哪里

Hacktron的入侵案例揭示了一个AI时代的结构性安全困境：最危险的攻击面不在AI模型本身，而在AI系统与周边服务的连接处。

这次攻击的起点是论坛的图片处理模块，终点是内部代码仓库。中间的跳板是SSO——一个本应简化访问管理、实际上却将所有服务的权限捆绑在一起的机制。攻击者不需要直接攻破GPT，只需要找到围绕GPT运转的任何一个边界较弱的第三方系统。

这个逻辑在AI Agent时代会被进一步放大。当AI代理被授权连接日历、邮件、代码库、CRM系统时，每一条新的集成链路都是一个新的潜在入口。OpenAI在公告中明确表示，本次合作的重点正是"测试AI代理以新方式连接服务时产生的弱点，并将发现用于强化防御"。

独立判断

将入侵者转化为合作者是成熟安全体系的标准做法。谷歌Project Zero、微软MSRC、苹果安全研究设备项目，都在不同程度上走过这条路。OpenAI的不同之处，在于它的核心产品本身就是AI，而它用来强化安全的工具也是AI——攻与防使用同一套技术基础，这使得这个领域的军备竞赛在逻辑上比传统软件安全更为紧张。

Hacktron用Claude入侵OpenAI、OpenAI用GPT-6 Cyber武装Hacktron来反过来测试自己，这种场景像是一个悖论，实则是AI安全的现实处境。谁能将这种能力纳入可控的制度框架并持续迭代，谁就掌握着下一阶段的安全主动权。