谷歌暂停开源漏洞赏金计划：AI生成无效报... Features
据Tom's Hardware于2026年10月3日报道，谷歌宣布暂停其开源漏洞赏金计划（OSS VRP）中针对产品漏洞的提交通道，原因是大量由AI生成的无效报告导致开源维护者不堪重负。该措施自2026年10月1日起生效，预计持续至2027年，以应对AI“幻觉”引发的虚假漏洞浪潮。
本地新闻谷歌为何暂停开源漏洞赏金计划？
谷歌官方在公告中表示，自2025年下半年起，其开源漏洞赏金计划收到的报告数量激增，其中绝大部分是低质量、由AI工具自动生成的无效内容。这些报告通常将正常功能行为误报为安全漏洞，甚至虚构不存在的缺陷。谷歌安全团队负责人Tommy Li在声明中指出：“我们注意到提交量增长了超过800%，但有效漏洞的比例从2024年的17%骤降至不足2%。我们的工程师和开源维护者不得不花费大量时间筛选这些干扰信息。”为此，谷歌决定从2026年10月1日起暂停产品漏洞类别的提交，直至2027年重新评估。根据《The Register》的报道，此举在开源社区引发广泛讨论，许多维护者抱怨AI生成的“垃圾报告”耗费了本应用于修复真实漏洞的精力。
地方新闻无效AI提交的规模有多大？
谷歌公布的数据显示，在暂停前的12个月中，OSS VRP共收到约4.2万份报告，而2024年同期仅为5,200份。其中，AI生成或辅助生成的报告占比超过85%，但这些报告中只有不到0.3%被确认为真实漏洞。更严重的是，部分AI报告包含完全由模型捏造的代码片段和漏洞描述，导致审核人员需要逐一验证。一位不愿具名的开源维护者表示：“我每天会收到10到15份AI生成的报告，其中一半引用不存在的函数名。我不得不停止开发新功能来处理这些噪音。”这种状况直接导致了一些核心开源项目的更新延迟。
对开源维护者的影响
开源维护者长期以来一直呼吁平台减少无效提交。根据Apache软件基金会的一份内部调查，约73%的维护者表示工作量在过去两年内增加了一倍以上，而AI技术的普及是主要因素。一位来自Kubernetes社区的核心开发者向Tom's Hardware透露：“过去我们花15分钟就能审核一份报告，现在需要半个小时去判断是不是AI编造的。这已经变成了威胁。”谷歌的暂停决定被视为对维护者困境的正式回应，但批评者认为这只是权宜之计，无法解决AI滥用问题的根源。
时间线与关键节点
| 时间 | 事件 | 影响 |
|---|
| --- | --- | --- |
|---|
| 2024年全年 | OSS VRP年提交量5,200份，有效漏洞率17% | 正常运营 |
|---|
| 2025年第二季度 | AI工具普及导致提交量开始激增 | 审查负担加重 |
|---|
| 2025年第四季度 | 月均提交量突破3,000份，有效率跌至3% | 维护者公开抱怨 |
|---|
| 2026年10月1日 | 谷歌暂停产品漏洞提交通道 | 仅保留非产品类漏洞（如配置错误） |
|---|
| 2027年（预计） | 计划恢复受理，但可能引入AI过滤机制 | 前景不明朗 |
|---|
行业反应与专家评论
安全研究机构SANS研究所指出，谷歌的决定反映了整个IT行业面临的共同挑战：AI生成内容正在破坏传统的漏洞发现与奖励机制。知名安全专家Bruce Schneier在评论中表示：“这不是第一个也不会是最后一个被AI垃圾报告压垮的漏洞赏金计划。我们需要新的验证机制，或者改变奖励模型。”与此同时，多家大型科技公司如微软和Meta也在内部调整了各自的漏洞报告处理流程，但尚未公开暂停计划。据AP通讯社报道，美国国土安全部网络安全与基础设施安全局（CISA）已注意到这一趋势，并开始研究AI相关漏洞报告对关键基础设施的影响。
FAQ段
Q1: 谷歌暂停开源漏洞赏金计划是否意味着开源项目不再有安全奖励？
A1: 并非完全暂停。谷歌的OSS VRP分为产品漏洞和非产品漏洞两类。本次暂停仅针对产品漏洞（即影响特定谷歌产品或开源项目的软件缺陷）。非产品类漏洞（如配置错误、文档问题等）的提交通道仍然开放。此外，谷歌表示现有的安全研究人员可以通过其他渠道（如Chrome漏洞奖励计划）继续提交报告。
Q2: AI生成的无效报告会不会导致真正的漏洞被遗漏？
A2: 这确实是社区最大的担忧。由于审查人员需花大量时间排除虚假信息，真实漏洞的响应时间可能变长。不过，谷歌强调其内部安全团队会优先处理来自知名研究人员的报告，并计划在2027年重新开放时引入自动验证工具，以提高效率。
展望未来
谷歌此次暂停计划虽然短期降低了维护者负担，但长期来看，如何区分AI生成的伪漏洞与真实威胁已成为整个安全行业的新课题。随着生成式AI技术的不断进步，未经验证的自动报告只会越来越多。2027年谷歌能否拿出有效的解决方案，将决定开源漏洞赏金计划能否在AI时代继续运转。
