AI Agent 两天盲打堆漏洞拿下 OpenAI,赏金仅 6500 美元引争议
jessicawruan · x · 2026-09-19
安全研究员 Jessica Ruan 撰文讨论 Hacktron 团队用图像库漏洞(HEIF Heist,经 LiveOverflow 视频公开)攻入 OpenAI 的事件,以及随之而来的赏金争议。
关键事实:
- 团队获得 6500 美元赏金,扣除约 3000 美元的 Codex + Claude 订阅成本,净赚约 3500 美元——与该漏洞在黑市的潜在价值严重不对等。
- 作者是前 CTF 堆漏洞(heap pwn)选手,感慨传统堆利用需要对目标环境的完整本地副本和精确 Docker 镜像,而现在 AI agent 在人类引导下可以完全盲打(不知道 libheif/libc 版本),1-2 天内适配出可用 exploit。
- 她认为让公司赏金对标黑市价格不现实,但需要其他方式让负责任披露值得做,例如公开致谢与声誉回报——本次团队的公开表彰某种程度上已超过金钱价值。
- 文末引出讨论:下一个研究员面对同样处境该怎么办?有评论者认为不应被「公司内部预算结构合理」的说法软化,批评焦点应该是「他们应该付更多钱」。
所属事件:三人72小时链式攻破OpenAI账号，6500美元赏金引众怒(19 条相关)→
「漫话AGI」频道最新
- 推友激辩 Scott Alexander：嘲讽 EA「等 ASI 分星球」引圈内争论 — zetalyrae · 2026-11-04
- 开发者倡议逐步淘汰 C++，AI 时代需为代码写形式化规范 — thomasahle · 2026-11-04
- Intology Locus 自动设计分子模型，击败 GPT-6 与 Claude 智能体 — rohanpaul_ai · 2026-11-04
- 投资人观察:AI 搜索时代,生意又回到鸡尾酒会与人设表演 — StewartalsopIII · 2026-11-04
- 学者控诉顶会 AI 论文乱象：现场用 ChatGPT 答提问、一稿双投还造假数据 — Vegetable-Formal-753 · 2026-11-04
- AI 吃水争议有解了？网友用 Gemini 生成对比图反驳"耗水恐慌" — Serasul · 2026-11-04