AI 幻觉报告压垮漏洞赏金：谷歌把产品漏洞入口关了

结论：这不是「谷歌小气」，而是 AI 生成内容的外部性第一次直接砸在开源维护者头上

据 IT之家援引 Tom's Hardware 报道，谷歌宣布自 2026 年 10 月 1 日起，开源软件漏洞奖励计划（OSS VRP）不再接收产品漏洞提报；此前已提交的不受影响。知情人士称，数千份声称发现严重漏洞的报告实为 AI 幻觉、无法实际利用，挤占了修复真实高危漏洞的时间。谷歌云相关仓库仍可通过 Cloud VRP 提报，谷歌计划于 2027 年第一季度公布重组进展。

三个要点

一、攻击面从「代码」转移到了「流程」。 AI 降低了提交一份「看起来像样」的报告的成本，但没有降低验证报告的成本。当提交成本接近零、验证成本居高不下时，任何开放提报通道都会被淹没。这是一种新型的拒绝服务——攻击的不是系统，是维护者。

二、赏金计划的定价机制被套利。 只要有概率命中，批量提交就是正期望。这不是恶意，是激励设计问题：按「提交量」而非「被采纳量」给予关注，必然招来噪声。

三、开源维护者是最终买单方。 大厂可以关掉通道，个人维护者只能沉默地处理垃圾报告，或者干脆放弃维护。

对读者的实际影响

• 如果你是安全从业者：手动复核一遍再提交。带复现步骤和最小化验证用例的报告，永远不会被当成噪声。
• 如果你是维护者：在贡献指南里明确要求「无复现步骤的报告直接关闭」，并设置自动标记。这比逐个解释省时间。
• 如果你是平台方：把奖励锚定在「被确认的漏洞」，同时对高频低质提交设限，而不是一刀切关停。

一个诚实的判断

关停入口是止血，不是治疗。真正的解法是让 AI 参与验证——用它筛掉它自己制造出来的噪声。在那之前，开放提报的通道会越来越窄。

参考来源

• IT之家：谷歌暂停开源漏洞奖励计划的产品漏洞提报，AI 幻觉报告压垮维护团队 — https://www.ithome.com/1/009/673.htm

延伸阅读：谷歌借助 AI 与差分模糊测试将 C 语言依赖库改写为 Rust · 400 亿美元估值、产品还没上市：AI 制药的定价锚点换成了「管线」