huntr

huntr 是什麼

huntr 是一個只鎖定 AI 與機器學習的漏洞賞金平台。它的目標不是網站或手機應用，而是 AI 程式碼所依賴的函式庫，以及模型儲存時使用的檔案格式。一個被動過手腳的模型檔，只要有人載入就能執行程式碼，整個環節都被平台視為可回報的範圍。

最早的做法是按儲存庫發放賞金。PyTorch、Transformers、Keras、ONNX、scikit-learn 等專案都列在賞金看板上並標明金額，每份報告先經過初步審核，維護者才會著手修補。這些修補最後成為公開的安全公告，多數研究人員的資歷就是這樣累積出來的。

後來加入的是挑戰賽。比賽有時限，對手是一個專門為賽事打造的 AI 助理或代理。你可能要把保險理賠助理藏著的權杖挖出來，或讓三個代理吐出它們被交代要保護的工具。單一賽事獎金池最高可達一萬五千美元，排行榜會列出所有在截止前完成目標的人。

這樣的設計帶來兩個結果。研究成果必須被審核，不能自己發布，所以只有被認定為真實問題的報告才會付款。工作本身也充滿競爭，熱門挑戰擠進大量人馬，重複的報告一毛都拿不到。已經會讀 Python 原始碼、懂提示注入的人，收穫會明顯多一些。

如何開始

1. 用電子郵件或 GitHub 帳號在 huntr.com 註冊，並接受行為準則與參賽條款。
2. 挑選目標。賞金看板列出開放中的儲存庫與賞金區間，挑戰頁面則列出進行中的賽事、規則與截止時間。
3. 在你回報的那個版本上重現問題，並保留一份最小化的概念驗證。若是函式庫漏洞，請記下受影響的函式，以及惡意資料如何走到那裡。
4. 提交報告，附上步驟、證據與影響範圍。初審確認後，維護者推出修補，安全公告會以你的名字公開。
5. 參加挑戰時，在截止前送出達成目標的證據，再到排行榜確認名次與獎金。