OpenAI 被曝洽谈收购 Trail of Bits：AI 挖漏洞之后，要把修补能力也收进手里

AI 让软件漏洞被发现的效率大幅提升，但“挖出来没人修”很快成了新问题。10 月 15 日有报道称，OpenAI 正在与专门从事开源软件漏洞挖掘与修复的安全公司 Trail of Bits 进行早期收购谈判，这笔交易的方向，恰好指向这个缺口。

一分钟速览

• 知情人士称，OpenAI 正与 Trail of Bits 进行早期收购谈判，交易规模暂不明确；
• OpenAI 以往收购小型初创公司时，偶尔以股票形式支付，作价可低至数亿美元，也有部分金额较低的交易；
• 谈判仍在进行，存在最终破裂的可能；
• 今年 6 月，双方已通过 OpenAI 的资讯安全计划推出开源软件安全与修补倡议 Patch the Planet；
• 该倡议结合 OpenAI 的 Codex 工具与专为网络安全打造的模型，以及 Trail of Bits 的安全工程师、研究人员与开源维护者。

为什么要买一家“修漏洞”的公司

这桩潜在交易放在行业背景里看并不突兀。随着 AI 模型被用于代码审计与漏洞挖掘，安全团队面对的不再是“找不到问题”，而是“找到的太多、修不过来”——此前已有报道提到，有银行不得不临时聘请上千名外包人员，专门修复 AI 模型发现的问题。当发现能力被模型放大，修补能力就成了新的瓶颈。Trail of Bits 长期深耕开源软件的漏洞发现与修复，且与开源维护者社区联系紧密，这种“能把问题真正关掉”的能力，正是模型公司难以在短期内自建的。

一次合作铺垫出的收购路径

值得注意的是，双方并非初次接触。今年 6 月，两家公司通过 OpenAI 的资讯安全计划推出了名为 Patch the Planet 的开源软件安全与修补倡议：一边提供包括 Codex 与网络安全专用模型在内的能力，一边贡献安全工程师、研究人员与开源维护者，共同寻找、审查并修复代码漏洞。从合作到收购谈判，路径相当清晰——先验证“模型 + 人类专家”的协作模式是否有效，再决定是否把团队与工程能力整体并入。

AI 安全正在从“发现”走向“闭环”

如果交易最终落地，它释放的信号会很明确：在 AI 安全这件事上，竞争重点正在从“谁的模型更能找出漏洞”，转向“谁能把漏洞从发现到修复的整条链子管起来”。这对开源生态尤其重要——开源软件是基础设施，却往往缺乏专职的安全维护者，任何能降低修补成本的方案都会被广泛需要。当然，收购仍有不确定性，交易金额与最终形态都未确定。但方向已经摆在那里：模型带来的效率红利，必须有一个同样高效的善后机制来接住，否则挖得越快，堆积的风险就越多。