大量 AI“幻觉”报告压垮维护团队，谷歌暂停部分开源漏洞奖励计划

AI 总结
• 谷歌宣布自2026年10月1日起，开源软件漏洞奖励计划（OSS VRP）将不再接收产品漏洞提报，但此前已提交的产品漏洞不受影响。
• 对可能影响谷歌云产品的部分谷歌云代码仓库，如涉及产品漏洞，谷歌仍可能通过云漏洞奖励计划（Cloud VRP）接收相关报告。
• 暂停原因之一是大量声称发现严重漏洞的报告被核实为 AI“幻觉”，内容无效且无法实际利用，压垮了开源维护团队。
• 这些虚假报告挤占了维护人员验证和修复真实高危漏洞的时间，促使谷歌决定暂停并调整该计划。
• 谷歌表示将持续重组和优化 OSS VRP 机制，并计划于2027年第一季度公布最新进展。

【计划调整】
IT之家 10 月 4 日消息，谷歌宣布，自 2026 年 10 月 1 日起，开源软件漏洞奖励计划（OSS VRP）将不再接收产品漏洞提报。

本次规则调整不影响 2026 年 10 月 1 日之前已提交的产品漏洞。

【例外情况】
不过，针对部分可能对谷歌云（Google Cloud）产品造成影响的谷歌云代码仓库，如果涉及产品漏洞，谷歌仍可能通过云漏洞奖励计划（Cloud VRP）接收相关报告。

【计划背景】
OSS VRP 是谷歌设立的一项专业安全赏金计划，旨在通过激励独立安全研究人员，在谷歌整个开源生态系统中挖掘并负责任地披露安全缺陷。

【报告质量问题】
据 Tom's Hardware 报道，知情人士透露，谷歌工程师与开源代码维护人员已被数以千计的劣质报告彻底吞没。

这些报告声称发现了严重漏洞，但深入排查后发现，它们全都是 AI 产生的“幻觉”，根本无效且无法被实际利用。

【暂停原因】
维护团队不得不将大量精力耗费在验证这些虚假代码上，严重挤占了修复现实中高危漏洞的时间。

这正是导致谷歌最终叫停该计划的直接原因。

【后续安排】
IT之家获悉，谷歌官方表示，将持续对 OSS VRP 的相关机制进行重组与优化，并计划于 2027 年第一季度公布最新进展。

[来源链接] https://www.ithome.com/1/009/673.htm

我不太认同这种因噎废食的做法。AI“幻觉”报告确实会增加审核成本，但问题核心在于漏洞接收机制缺少门槛和分级。直接暂停产品漏洞提报，可能让真实风险被延后发现。更合理的方式是要求提交可复现 PoC、影响范围和利用链，对明显 AI 生成或无效报告建立降权、限流和黑名单，同时保留紧急通道。维护开源安全不该靠一刀切。

我不太认同这个做法。AI 生成的假报告确实烦人，但一刀切暂停接收产品漏洞提报，等于把认真做安全研究的人也一起拒之门外。其实更好的办法是提高提交门槛，比如要求附带可复现的 PoC、运行环境和触发路径，靠验证流程把幻觉报告筛掉，而不是直接关掉入口。真等高危漏洞被拖到 2027 年才有人发现，代价可能更大。

完全认同，这两年 AI 辅助挖洞的帖子确实越来越多，很多所谓的"高危漏洞"其实连最小复现都给不出来，一问就是 AI 推理出来的。真正受影响的还是那些认真提报的研究者和维护团队，验证成本被大量无效报告拉高，真实漏洞的响应时间反而变长了。希望后续重组的 OSS VRP 能加上更严格的复现要求和初筛机制，比如必须附可运行的 PoC，甚至先过一轮自动化验证，别让幻觉报告继续消耗大家精力。

感觉这个决定有点因噎废食了。AI 生成的垃圾报告多，说明的是审核门槛太低，而不是计划本身该停。真正在挖漏洞的研究者反而被连累，以后想找谷歌的漏洞只能走云 VRP，覆盖面小很多。更合理的做法是要求提交必须附带可复现的 PoC、限制账号提交频率，或者先做自动化初筛再转人工。直接停掉产品漏洞通道，等于把红利让给黑产，等 2027 年一季度才公布进展，中间这一年多的安全窗口怎么办？

我不完全认同把锅全甩给 AI"幻觉"的说法。其实报告质量参差不齐在漏洞赏金领域一直存在，AI 只是放大了噪音，真正的问题是谷歌和开源维护者缺少有效的初筛机制，比如自动化的 PoC 复现校验、提交者信誉分层。直接暂停产品漏洞提报，等于把认真挖洞的研究者也一并挡在门外，反而可能让真实高危漏洞流入黑市。与其一刀切，不如先上强制复现步骤和最低质量门槛，把噪音挡在第一关。

说到底还是"AI 一键提交"的成本太低，而维护者核实的成本太高，严重不对等才导致这种局面。其实不只是谷歌，很多开源项目最近都被这种看似煞有介事、实则无法复现的漏洞报告折腾得够呛，真正需要被发现的高危问题反而被埋了。期待 2027 年 Q1 能看到新的准入和初筛机制，比如要求提交可复现的 PoC，或者引入自动化初验来过滤噪声，别让白帽子的热情变成社区的负担。

我不太认同这个决定。AI 生成的虚假报告确实讨厌，但问题出在提交入口缺少初筛机制，比如要求提供可复现的 PoC、环境版本和触发步骤，配合自动化预验证就能过滤掉大量无效内容。直接把产品漏洞通道整个关掉，反而把认真挖洞的人也一起挡在门外，真实的高危漏洞可能因此流入黑市。建议分层受理，对高质量报告保留人工快速通道，而不是一刀切暂停。

不太认同这个"AI 幻觉压垮团队"的说法，这更像是个导火索而非根本原因。开源项目本来就长期处于"免费承担企业安全成本"的失衡状态，谷歌作为最大受益者之一，现在一刀切停掉产品漏洞提报，其实是把验证责任又推回给了社区。真想解决幻觉报告，完全可以加前置过滤、要求提供 PoC、限制 AI 生成报告提交渠道，而不是整个类别暂停。而且 2027 年 Q1 才公布进展，中间一年多真空期，其他厂商的漏洞奖励未必接得住。希望调整后能保留人工初筛通道，别让真实高危漏洞跟着一起被埋没。

同意这个决定。现在很多人用 AI 扫源码，产出一堆看起来很唬人、实则不可利用的"漏洞报告"，维护者光是复现验证就要花掉大量时间，真正需要修的高危问题反而被埋了。开源维护本来就是志愿性质的，再被这种无效提报轰炸，谁也扛不住。希望谷歌在 2027 年重组后能加入自动化初筛或者提交质量门槛，比如要求附带可复现的 PoC，这样既能留住认真挖洞的人，也能过滤掉 AI 幻觉产物。