2025年10月6日，周一，Google 喺官方渠道同傳媒披露咗一項專門針對 AI 相關漏洞嘅新賞金計劃。呢項計劃會對影響 Google Search、Google Drive 以及其他內嵌或依賴生成式 AI 功能嘅產品入面出現嘅安全缺陷，發放現金獎勵，單項漏洞最高可達 30,000 美元。
根據 The Verge 報道，Google 將今次計劃視為對其既有漏洞獎勵（Vulnerability Reward Program，VRP）嘅補充，重點放喺同 AI 行為直接相關、可能造成資訊外洩或被濫用嘅缺陷。具體例子包括：導致模型暴露上下文中敏感數據嘅攻擊、能夠繞過內容同安全策略嘅輸入構造、或令系統執行未授權操作嘅連鎖漏洞。
計劃細則強調可重複性同可驗證性——研究者需提交可重現嘅漏洞利用路徑同必要嘅 PoC（漏洞概念驗證），俾安全團隊重現同評級。獎勵金額會根據漏洞嘅技術難度、影響範圍以及被濫用嘅可能性分級決定；報告質素同細節完整度亦會影響最終支付數額。
The Verge 指出，Google 喺推出該計劃時同時說明咗範圍同例外：並非所有同 AI 相關嘅發現都會納入今次賞金範疇，雲端服務、第三方整合或者唔喺公開測試範圍內嘅內部系統通常會被排除。Google 仲重申佢對負責任披露嘅支持，鼓勵研究者按規定流程提交發現，以便技術團隊及時修補。
對於安全研究圈同「白帽子」嚟講，呢項計劃有兩個明顯吸引點。其一，獎金上限 3 萬美元嘅設定令 AI 方向嘅漏洞研究變得更吸引，無論係職業定兼職；其二，明確將生成式 AI 嘅安全問題列為重點，令研究者將關注點由傳統軟件缺陷擴展到模型行為、提示注入（prompt injection）、上下文暴露等更貼近現時 AI 應用風險嘅場景。
報道仲提到，Google 會喺漏洞評估過程中考慮影響嘅可見度：如果漏洞喺大規模用戶場景下可以被觸發，或者會導致敏感資訊外洩，通常會獲得更高評級同獎金。與此同時，Google 希望借助外部研究力量，提前發現「連鎖攻擊」——嗰啲單獨睇似乎低危但組合後會造成嚴重後果嘅問題。
對年輕嘅漏洞獵人嚟講，呢意味住入門門檻喺下降——唔單止係因為工具同資訊更豐富，亦因為廠商願意喺 AI 領域嘅安全投放更多現金激勵。The Verge 將今次行動解讀為大型科技公司喺應對生成式 AI 風險時，開始將外部安全社群納入防護閉環嘅重要信號。
Google 今次公告既係向技術社群發出邀請，亦係向外界作出承諾：喺 AI 快速落地到搜索、辦公同日常工具嘅同時，廠商會更積極將安全研究成果轉化為產品修復。對想參與嘅人嚟講，關鍵係將漏洞報告寫清楚、可複現，並喺合規範圍內進行測試，以確保既可以得到獎金，亦可以推動更安全嘅 AI 應用生態。