OpenAI被曝洽購Trail of Bits，模型公司為何開始搶安全團隊？

原創 | Odaily星球日報（@OdailyChina）

作者 | 速遞俠@Odaily星球日報

據外媒《The Information》報導，OpenAI 正與紐約網路安全公司 Trail of Bits 進行早期收購談判。交易金額尚未披露，雙方至今未公開確認消息。報導指出，這筆潛在交易的核心目的，是幫助 OpenAI 搭建更完整的網路安全業務線。

Trail of Bits 成立於 2012 年，由三名安全研究人員在沒有外部融資的情況下起步，目前員工規模在四十人上下。公司不以「快速出報告」為賣點，而是把研究、工具開發和實際審計綁在一起做，在密碼學、底層系統、應用安全和區塊鏈安全幾個方向都有深度積累，尤其在智能合約審計領域口碑較硬，Uniswap、Aave、Worldcoin、Arbitrum 等項目都曾找它做過審查。公司自己維護的開源工具 Slither、Echidna、Manticore，已成為不少區塊鏈團隊日常使用的標準工具鏈。

公開信息顯示，Trail of Bits 的客戶名單並不限於加密項目。它長期參與 DARPA 相關項目，曾在 Cyber Grand Challenge 中拿到較好名次，近年也參與了 AI Cyber Challenge。公司一貫的做法是把研究中沉澱的方法開源出去，而不是把知識鎖在客戶報告裡。這種風格讓它在安全圈子裡比較特殊——既做高價定製審計，也持續往公共領域扔工具和論文。

其實早就今年 6 月，雙方已經有過實際合作。OpenAI 與 Trail of Bits 共同推出了「Patch the Planet」倡議，屬於 OpenAI Daybreak 計劃的一部分，旨在用 OpenAI 當時能力較強的模型（包括 GPT-5.5-Cyber）去掃開源項目，再由 Trail of Bits 的工程師做驗證、復現、寫補丁，並與維護者協調合併，而不是把模型輸出直接砸給開源項目。

第一週的衝刺覆蓋了 19 個項目，包括 cURL、Python、Go、pyca/cryptography、Sigstore、aiohttp、NATS 等基礎庫和基礎設施組件。根據 Trail of Bits 公布的數據，此次合作發現了數百個問題，提交了 64 個 Pull Request 和 51 個 Issue，其中 37 個補丁在發布公告時已經合併。後續跟蹤顯示，到 9 月中旬左右，已有結果的 186 個 PR 中，約 68%被維護者合併，其中多數是原提案幾乎未做安全相關修改就被接受。維護者關閉未合併的 PR，主要原因是被其他工作替代或超出範圍，明確因技術問題拒絕的很少。

開源項目維護者長期面對「報告太多、人手不夠」的問題，模型能加速發現，但也會放大噪音。Trail of Bits 在中間做了一層過濾和補丁工作，等於把「發現」和「修復」綁在一起。有項目維護者後來反饋，相比過去收到的大量 AI 報告，這次的報告質量更高，有正確復現、清晰影響說明。

對 OpenAI 來說，這次合作等於在真實場景裡測試了模型在安全任務上的表現，也驗證了「模型+專業安全工程師」的組合是否能跑通。如果收購最終發生，OpenAI拿到的將是一群長期做底層安全研究、會寫工具、也習慣與開源社區協作的人。

當前，模型公司在安全上的壓力並不小，模型能力提升後，既能用來找漏洞，也更容易被用來造攻擊，OpenAI 自己也在推 Daybreak 等防禦方向的產品。把 Trail of Bits 這樣的團隊收進來，等於在內部補一塊能持續產出安全能力和工具的研究力量。

從更大範圍看，傳統公司通過收購補足加密或鏈上安全能力的動作已經有過幾輪。

2021 年，Mastercard 收購了 CipherTrace，後者做區塊鏈分析和加密貨幣反洗錢工具，主要服務銀行、交易所和監管機構。收購後，這部分能力被整合進 Mastercard 的數字資產風控和合規體系。

2020 年，PwC 瑞士把 ETH Zurich 衍生出來的 ChainSecurity 團隊納入，強化智能合約審計和形式化驗證能力，服務有加密資產相關需求的客戶。

今年 9 月，S&P Global 宣布協議收購 OpenZeppelin。OpenZeppelin 維護著被廣泛使用的開源智能合約庫，也做過大量安全審查；S&P 的意圖是把鏈上技術風險納入自己的評級和風險評估框架。收購後 OpenZeppelin 將繼續獨立運營，保留品牌和主要負責人。（推薦閱讀《為世界評級的標普，買了家加密安全公司》）

這些交易的共同點很清楚：收購方大多不是要全面轉型做加密業務，而是看中一塊自己缺的細分能力——無論是合規監控、智能合約審查，還是鏈上技術風險——來服務已有的機構客戶，或者強化自己的基礎設施。

OpenAI 如果推進這筆交易，目的也大致相同，即在模型能力快速上升、安全需求同步抬升的階段，補一塊經過驗證的專業安全研究和執行能力。目前談判仍處早期，沒有正式確認，也沒有價格信息流出。

對 Trail of Bits 這樣習慣把工具和研究成果公開的公司而言，被更大平台收編後，研究開放程度會不會變化，成為外界關注的焦點。對開源安全生態來說，如果更多模型公司直接把專業安全團隊收進來，未來「發現漏洞」和「修復漏洞」的節奏可能會進一步拉開。