Google 暂停开源漏洞赏金的产品漏洞提交：自动化报告激增，「绝大多数无效」

停了什么，没停什么

10 月 1 日，Google 漏洞奖励计划在 X 上发文：暂时不再接收 OSS VRP 的产品漏洞提交，原因是「自动化提交大幅增加，其中绝大多数无效」。被暂停的是针对 Google 开源软件设计或实现缺陷的报告，这类问题可能影响下游构建中的用户数据安全。

没停的部分也写得清楚：供应链类报告照收，10 月 1 日前已提交的报告照常处理。研究者还可以走补丁奖励计划，为开源项目提交安全修复，最高 1.5 万美元；和 Google Cloud、AI 产品密切相关的开源问题，可以改报 Cloud VRP 或 AI VRP。Google 表示会重新设计这部分规则，并在 2027 年第一季度给出更新，但没承诺何时恢复。

不是第一家

OSS VRP 2022 年 8 月上线，单个漏洞奖励 100 至 31337 美元。项目行为准则本来就禁止低质量提交，要求参与者自行核实自动化工具产出的内容，但显然挡不住。据 Tom's Hardware 报道，Google 工程师和开源维护者被大量无效报告拖垮，有的报告里还有模型凭空编造的内容。BleepingComputer 指出，curl 项目今年 1 月已因 AI 垃圾报告终止了在 HackerOne 上的赏金，英特尔 9 月中旬也取消了现金奖励。

影响判断

AI 把「提交一份看起来像样的漏洞报告」的成本降到接近零，但核实成本仍由维护者承担，赏金制度的激励结构因此失衡。短期看，认真做研究的人也会被一起挡在门外；长期看，赏金计划大概率会走向更高门槛：要求可复现的 PoC、限制提交频率，或先建立信誉再开放。用 AI 辅助挖洞的研究者，最好把人工验证和可运行的复现步骤当作提交的最低标准。