一个月500万：一份最新报告揭示Anthropic的漏洞赏金真相

原创

服务关键少数的
服务关键少数的

安领荟科技

2026年6月20日 14:37
山东

在小说阅读器读本章

去阅读

根据WhiteHat平台的两份关于Anthropic漏洞赏金计划的调研数据，做了交叉对比，来看这份报告透露了什么。

Anthropic，Claude背后的公司，AI安全领域的“标杆级”存在。2026年5月7日，他们宣布将此前仅限受邀安全研究员参与的漏洞赏金计划向全球开放，目前已经公开计划运行了一个半月。

先看两组数据的差异：

12天，新增18份报告，多支付8.57万美元（约62.6万人民币），新增29名白帽。AI成熟度评分从100分回调至90分，一个半月就是约560万人民币的真实投入。

奖励标准：怎么定价的？

Anthropic的奖励结构分“核心资产”和“非核心资产”两档：

一个Critical级漏洞，最高给到1万美元（约7.3万人民币）。同时，文档类安全更新和第三方协调修复统一以100美元（约730元）酌情发放。

这个预算不算行业最高，但也绝对不低。关键是规则清晰、执行透明——什么级别拿什么钱，白帽心里有数。

资产分析：23项Critical，没有死角

报告显示，Anthropic的资产范围覆盖23项全部标记为Critical的资产，包括：

• Web资产：claude.ai、console.anthropic.com、api.anthropic.com、docs.anthropic.com、support.anthropic.com
• 代码与基础设施：GitHub源码（github.com/anthropics）、基础设施与内部应用、官方客户端
• AI与开发者工具：Claude Code、API与SDK、Claude模型安全
• 生态扩展：MCP服务器（Claude Desktop Extensions和Claude.ai MCP servers）、Claude in Chrome插件、Claude iOS App
• 敏感资产：泄露的员工API密钥

所有东西都是核心资产，没有“不重要”的资产。

国内很多企业的漏洞收集范围往往局限于“对外服务的网站和APP”，内部系统、开发工具、第三方集成、员工凭证——这些“看不见的资产”往往不在赏金范围内。攻击者恰恰喜欢从这些地方入手。

攻击者不会因为你“没把它当核心资产”就不攻击它。

90分：AI评级的诚实回调

从100分到90分，是12天里最值得关注的变化。

这不是安全团队自己拍脑袋改的，而是基于运行数据、漏洞复现率、响应质量等多维度指标的AI系统评估结果。100分意味着“理论上完美”，90分意味着“真实世界里，我们还有距离”。

AI评估系统给出的结论是：理论模型和现实水位之间，存在需要正视的距离。

12天的增量说明了什么？

第一，常态化运营，不是“开张吃三年”。

12天新增8.57万美元支出，意味着这个计划每天都在运转。326份报告、259名白帽、76.7万美元——这些数字的背后，是一个持续运转的漏洞情报漏斗。

第二，社区在扩大，信任在积累。

12天新增29名白帽，说明开放策略在起作用。越来越多的安全研究者愿意为Anthropic“看家”，并且持续获得回报。

安全众测：AI公司的“标配”而非“选配”

Anthropic的案例说明了一个问题：安全众测正在成为AI公司的“标配”，而非可有可无的“选配”。

为什么？因为AI系统与传统软件有本质区别。

传统软件的漏洞是“已知问题的未知分布”——你知道会有漏洞，只是不知道在哪里。而AI系统引入了“未知问题的未知分布”——模型行为的不确定性、提示注入、对抗样本、工具调用越权……这些是传统安全框架里没有定义过的风险类型。

内部安全团队再强，也无法完全模拟外部攻击者的所有可能视角。 尤其是针对AI系统的攻击，往往需要跨领域的创造力——既要懂安全，又要懂模型，还要懂业务逻辑。这种复合型能力，在任何一个单一团队内部都是稀缺的。

Anthropic的解法是：用259名白帽的集体智慧，弥补内部团队的视角盲区。 326份报告，每一份都是一个外部视角对内部系统的一次“压力测试”。这是内部团队靠自己永远无法获得的“多样性攻击面覆盖”。

这不是“外包安全”，这是“众包安全视角”。

“AI杀死漏洞赏金”？恰恰相反

2026年初，行业里有个论调：AI会杀死漏洞赏金。

理由是AI可以自动发现漏洞、自动生成报告，人类白帽将被取代。某国际漏洞赏金平台因超过95%的提交是AI生成的垃圾而大幅削减了开源项目的赏金——关键漏洞奖励从9,250美元降至2,257美元，降幅高达75.6%。另一家平台也在同期暂停了互联网漏洞赏金计划。

但Anthropic的选择截然相反——逆势开放，扩大投入。

为什么？因为他们清楚：AI能辅助发现漏洞，但判断不了漏洞的价值。

一个AI可能报告“系统存在SQL注入风险”，但它无法判断这个注入点是否可达、是否有WAF拦截、能读到什么数据、能造成多大业务影响。这些判断需要的是对业务逻辑的理解、对系统架构的认知、对攻击链的推演能力——这些恰恰是当前AI最不擅长的。

Anthropic的计划规则写得很清楚：报告必须提供详细的、可复现的步骤。AI生成或自动化扫描的报告会被直接关闭。

这不是排斥AI，是排斥“用AI糊弄事的人”。AI是工具，人是主体。那些被拒绝的“AI生成报告”，恰恰证明了人的深度思考在当前阶段仍然不可替代。

而259名白帽用326份报告证明的，正是高质量人工漏洞挖掘的价值不仅没有被AI取代，反而因为AI系统的复杂性变得更加稀缺。

环境、生态与市场的差距

数据背后，是更深层的结构性差异。

环境的差异： 海外头部企业的安全团队普遍具备较高的漏洞响应与处置成熟度，安全众测被视为研发流程的有机组成部分。国内大量企业的安全团队仍面临“没人、没权、没钱”的困境。

生态的差异： 259名白帽形成了一个持续运转的漏洞情报漏斗——发现、提交、验证、奖励、修复，整个链路清晰且闭环。国内虽然也有优秀的白帽社区，但整体上还处于“活动驱动”而非“机制驱动”的阶段。

市场的差异： 海外对漏洞的定价逻辑是“风险定价”——一个漏洞可能造成多少损失，就愿意花多少钱去发现和修复。国内很多企业的定价逻辑仍然是“成本定价”——安全是成本项，能省则省。

100美元的沉默费：别神话任何人

Anthropic做得不错，但并非没有问题。

2026年4月，安全研究员发现Anthropic、Google、Microsoft的三款AI代理工具存在可被劫持的漏洞。三家均支付了赏金，但均未发布CVE或公开安全公告。Anthropic支付了100美元（约730元人民币），将严重等级从9.3上调至9.4。

100美元买一个9.4分漏洞的沉默。

另一个细节：Anthropic的MCP协议被曝存在设计缺陷，威胁约20万台服务器，但Anthropic拒绝修复，称其为“预期行为” 。

一家以“AI安全”为立身之本的公司，在真实的安全缺陷面前，选择了“功能优先于安全”。

我们能做什么？

第一，把漏洞赏金从“活动”变成“常态”。 建立全年无休的漏洞接收渠道，配备专门团队负责响应，设定清晰的奖励标准和支付流程。

第二，扩大资产覆盖范围。 内部系统、开发工具、员工凭证、第三方集成——所有可能成为攻击跳板的东西，都应该纳入赏金范围。

第三，给漏洞合理定价。 一个能导致数据泄露或系统沦陷的严重漏洞，潜在损失可能高达数百万甚至上千万元。

写在最后

Anthropic一个多月支付560万，不只是因为他们有钱，更是因为他们算清楚了这笔账。

国内安全行业的差距，不在技术上，在认知上。什么时候国内企业也能把漏洞赏金当作 “安全投资” 而不是 “额外支出” ，安全水位才能真正提上来。

而那个从100分到90分的AI评级回调，或许比560万的支出更值得我们思考——真实世界里的安全，从来不是满分。谁先承认这一点，谁就走在前面。