← 返回 Sardaana AI
AI生成的无效报告泛滥，谷歌暂停开源漏洞赏金计划的提交
自2026年10月1日起，谷歌不再接受其开源软件漏洞奖励计划（OSS VRP）的新产品漏洞报告，称自动化提交急剧增加且绝大多数无效。谷歌承诺在2027年第一季度给出更新。
谷歌暂停了其开源软件漏洞奖励计划（OSS VRP）的部分内容。该漏洞赏金计划向发现谷歌开源项目安全缺陷的外部研究人员支付奖励。暂停于2026年10月1日生效，谷歌当天在X平台和计划官网上宣布；Tom’s Hardware于10月3日、TechCrunch于10月4日进行了报道。
原因
谷歌将原因归于自动化：此次暂停是由于”自动化提交显著增加，其中绝大多数无效”。据Tom’s Hardware报道，谷歌工程师和开源维护者被成千上万份低质量报告淹没，这些报告声称发现了漏洞，但实际上无效、无法利用，或纯属模型”幻觉”——时间都花在了核实上，而不是修复真正的问题。
具体暂停了什么
- 新的产品漏洞提交（谷歌公开代码库中的代码缺陷、逻辑或设计漏洞）被暂停。
- 10月1日之前提交的报告不受影响。
- 据Tom’s Hardware报道，供应链类报告仍被接受，部分谷歌云代码库的问题仍可提交至Cloud VRP。
- 谷歌表示将在2027年第一季度发布更新，并建议研究人员参与其其他赏金计划。
更广泛的趋势
廉价的大语言模型和自动化漏洞搜索脚本让生成漏洞报告几乎毫不费力，这一问题并非谷歌独有。Tom’s Hardware指出，Linux内核维护者近期表示被AI驱动的漏洞报告压得不堪重负；英特尔也暂停了一项每个漏洞最高支付10万美元的赏金计划，但英特尔并未表示原因是AI提交。