OpenAI 漏洞赏金全面抬价,最高约 17.2 万美元

给平台提交过漏洞的人都知道，最贵的一步往往不是找到洞，而是通宵把复现 PoC 磨出来——就是那种能让别人照着一步步把漏洞重新打出来的演示。OpenAI 刚官宣给这份功夫抬价：漏洞赏金中位数大幅上调，叠加各类奖金后，封顶约 17.2 万美元。

发生了什么

OpenAI 上调安全漏洞赏金计划，公告里有三个要点。中危、高危、严重三个档位的奖励区间中位数，平均提高到原来的四倍多。ChatGPT、Codex、API Platform 这些核心产品的严重漏洞，单项现在最高拿 3 万美元。最严重的「exceptional」级别，基础赏金仍是最高 10 万美元，但加上多重奖金后，公告给的数字是最高约 17.2 万美元。

奖金叠法来自三个新机制：报告质量加成——一个可靠的 PoC 要把漏洞隔离出来、讲清什么条件下可被利用、演示它的影响；五级忠诚体系——给长期持续提交的研究员按层级加钱；以及新功能上线时的短期专项活动奖金池。公告附了算式示例，比如一笔 exceptional 基础奖 10 万美元，依次乘 1.15 的质量加成、1.30 的专项奖金和 1.15 的忠诚加成——也特意注明这些示例只用于演示。

还有一条挺少见的安排：已经提交、尚未计酬的报告自动按新标准执行；公告前 30 天内已发的赏金，如果按新标准本该更多，OpenAI 会补差额，基础奖和忠诚奖都在补的范围内。

我为什么在意

我看好的不是 17.2 万这个招牌数，是「中位数提高到四倍多」。 严重漏洞永远是少数，一个赏金计划的日常流水是中高危档位的报告。中位数不动，涨价只是新闻稿；中位数动了，才会真正改变研究员拿到一条线索时「值不值得写成报告」的算盘。

而质量加成的三条要求，在我读来是把工程严谨性标了价。隔离、条件、影响——我见过太多「这里有个 bug」一句话完事的报告，复现做不全，再好的发现也卖不上价。OpenAI 现在等于明说：把这三段写扎实，钱就不一样。至于 30 天补差额，我带团队对接过几家平台，没见过几个政策更新肯回头照顾早期提交者的，这次至少想到了。

你会碰到什么

如果你提交过还没计酬，新档位自动适用，不用重交。近 30 天拿过赏金的，留意差额补发。准备写报告的，质量加成盯的就是 PoC 完成度——把复现步骤拆成「隔离、触发条件、影响面」三段再来谈价钱。

对管产品和安全的同学，这条消息还有另一面：上游核心资产的悬赏涨价，大概率意味着有更多研究员愿意扫 ChatGPT、Codex 和 API Platform。如果你把这类服务接进了自己的系统，别人替你探雷的节奏会变快，上游的安全公告和修复窗口，值得列进你的订阅清单。官方的线下活动定在 11 月 20 到 21 日的奥克兰，PROMPT2PWN，现场测试目标。

我会做的几件事

把近 30 天的提交和奖金记录翻出来，对一遍哪些落在补差范围；该我拿的钱，我不想靠催。

按三段式重写那份没写完的复现文档：隔离、条件、影响，写完看看能不能够到质量加成的门槛。

把 11 月 20-21 记进日历，顺带盯着其他大厂跟不跟这波涨幅——赏金通胀要是开始了，安全研究员的报价单就要重写了。

来源：OpenAI 官方博客，2026 年 11 月 3 日，《Rewarding defenders with bigger bug bounties》