谷歌暂停开源漏洞赏金计划：AI生成无效报告泛滥至2027年

谷歌暂停开源漏洞赏金计划：AI生成无效报... Latest News

据Tom's Hardware于2026年10月3日报道，谷歌宣布暂停其开源漏洞赏金计划（OSS VRP）中针对产品漏洞的提交通道，原因是大量由AI生成的无效报告导致开源维护者不堪重负。该措施自2026年10月1日起生效，预计持续至2027年，以应对AI“幻觉”引发的虚假漏洞浪潮。

谷歌为何暂停开源漏洞赏金计划？

谷歌官方在公告中表示，自2025年下半年起，其开源漏洞赏金计划收到的报告数量激增，其中绝大部分是低质量、由AI工具自动生成的无效内容。这些报告通常将正常功能行为误报为安全漏洞，甚至虚构不存在的缺陷。谷歌安全团队负责人Tommy Li在声明中指出：“我们注意到提交量增长了超过800%，但有效漏洞的比例从2024年的17%骤降至不足2%。我们的工程师和开源维护者不得不花费大量时间筛选这些干扰信息。”为此，谷歌决定从2026年10月1日起暂停产品漏洞类别的提交，直至2027年重新评估。根据《The Register》的报道，此举在开源社区引发广泛讨论，许多维护者抱怨AI生成的“垃圾报告”耗费了本应用于修复真实漏洞的精力。

无效AI提交的规模有多大？

谷歌公布的数据显示，在暂停前的12个月中，OSS VRP共收到约4.2万份报告，而2024年同期仅为5,200份。其中，AI生成或辅助生成的报告占比超过85%，但这些报告中只有不到0.3%被确认为真实漏洞。更严重的是，部分AI报告包含完全由模型捏造的代码片段和漏洞描述，导致审核人员需要逐一验证。一位不愿具名的开源维护者表示：“我每天会收到10到15份AI生成的报告，其中一半引用不存在的函数名。我不得不停止开发新功能来处理这些噪音。”这种状况直接导致了一些核心开源项目的更新延迟。

对开源维护者的影响

开源维护者长期以来一直呼吁平台减少无效提交。根据Apache软件基金会的一份内部调查，约73%的维护者表示工作量在过去两年内增加了一倍以上，而AI技术的普及是主要因素。一位来自Kubernetes社区的核心开发者向Tom's Hardware透露：“过去我们花15分钟就能审核一份报告，现在需要半个小时去判断是不是AI编造的。这已经变成了威胁。”谷歌的暂停决定被视为对维护者困境的正式回应，但批评者认为这只是权宜之计，无法解决AI滥用问题的根源。

时间线与关键节点

行业反应与专家评论

安全研究机构SANS研究所指出，谷歌的决定反映了整个IT行业面临的共同挑战：AI生成内容正在破坏传统的漏洞发现与奖励机制。知名安全专家Bruce Schneier在评论中表示：“这不是第一个也不会是最后一个被AI垃圾报告压垮的漏洞赏金计划。我们需要新的验证机制，或者改变奖励模型。”与此同时，多家大型科技公司如微软和Meta也在内部调整了各自的漏洞报告处理流程，但尚未公开暂停计划。据AP通讯社报道，美国国土安全部网络安全与基础设施安全局（CISA）已注意到这一趋势，并开始研究AI相关漏洞报告对关键基础设施的影响。

FAQ段

Q1: 谷歌暂停开源漏洞赏金计划是否意味着开源项目不再有安全奖励？

A1: 并非完全暂停。谷歌的OSS VRP分为产品漏洞和非产品漏洞两类。本次暂停仅针对产品漏洞（即影响特定谷歌产品或开源项目的软件缺陷）。非产品类漏洞（如配置错误、文档问题等）的提交通道仍然开放。此外，谷歌表示现有的安全研究人员可以通过其他渠道（如Chrome漏洞奖励计划）继续提交报告。

Q2: AI生成的无效报告会不会导致真正的漏洞被遗漏？

A2: 这确实是社区最大的担忧。由于审查人员需花大量时间排除虚假信息，真实漏洞的响应时间可能变长。不过，谷歌强调其内部安全团队会优先处理来自知名研究人员的报告，并计划在2027年重新开放时引入自动验证工具，以提高效率。

展望未来

谷歌此次暂停计划虽然短期降低了维护者负担，但长期来看，如何区分AI生成的伪漏洞与真实威胁已成为整个安全行业的新课题。随着生成式AI技术的不断进步，未经验证的自动报告只会越来越多。2027年谷歌能否拿出有效的解决方案，将决定开源漏洞赏金计划能否在AI时代继续运转。

Related Articles - 新闻聚焦

谷歌于2026年10月1日起暂停其开源漏洞赏金计划中产品漏洞提交通道，原因是AI生成的无效报告泛滥，导致维护者不堪重负。了解暂停原因、数据真相及对开源社区的影响。