Google 暂停开源产品漏洞奖励计划，因 AI 报告激增导致审查负担加重

2026 年 10 月 1 日，Google 宣布暂时停止接受其开源软件漏洞奖励计划（OSS VRP）中新的产品漏洞提交。公司表示将在 2027 年第一季度发布详细更新，但暂停仅针对该产品漏洞类别，而非 Google 运营的全部悬赏项目。

暂停的范围及例外

本次暂停仅适用于 OSS VRP 的产品漏洞类别。其他 Google 悬赏渠道，如云漏洞奖励计划，仍然接受报告，OSS 供应链的提交也未受影响。2026 年 10 月 1 日之前报告的漏洞仍在处理范围内，针对 Google Cloud 仓库中影响云产品的某些缺陷仍可通过独立的云 VRP 进行追踪。

Google 的内部分析将暂停归因于“自动化和 AI 生成提交的显著增加，绝大多数被视为无效”。这一激增压垮了开源维护者，他们不得不花费大量时间复现并驳回那些描述幻觉、不可利用或根本不存在缺陷的报告，而不是修复已验证的安全问题。

AI 生成噪声为何成问题

扫描和报告生成成本的降低让更多研究人员能够发现真实缺陷，然而同样的门槛降低也让低质量提交失去了自然过滤。自动化工具现在可以在几乎没有人工监督的情况下生成成千上万的合成报告，导致项目管理员必须处理的噪声量大幅上升。

• 自动化脚本大规模生成报告
• 大语言模型捏造看似合理却错误的代码路径
• 研究人员可在未人工验证的情况下直接提交
• 维护者必须投入时间复现并驳回每一份报告

许多开源维护者（多数为志愿者）表示，无效报告的激增分散了他们对真实安全工作的资源。复现幻觉缺陷所耗费的时间不仅延误了补丁的开发，还加剧了社区贡献者的倦怠感。

Google 的应对与未来计划

Google 说明暂停是临时措施，旨在重新设计受影响的 OSS VRP 部分。公司尚未公布新的验证规则，但强调该计划并未永久关闭。相反，Google 计划引入更严格的提交标准，可能要求可复现的证据、已验证的影响以及人工审查步骤，才能将报告纳入悬赏流程。

TechCrunch 与 Tom’s Hardware 将此决定关联到 Linux 等开源生态系统面临的更广泛挑战，即维护者日益被低质量漏洞报告淹没。两家媒体均报道了相同的时间线和理由，任何关于其他项目的额外说法均仅归于这些媒体本身。

对于依赖外部漏洞披露的安全团队而言，此次暂停提醒必须强化内部审查流程。要求在提交工单前提供可复现的证据、明确的影响说明以及人工审查，可帮助过滤 AI 生成的噪声，防止分析人员追逐虚假的威胁。

该情况也凸显了悬赏平台与开源项目之间更好协作的必要性。明确什么构成有效报告的指南，加上能够自动标记可能幻觉的预筛选机制，可在减轻维护者负担的同时，保留活跃漏洞悬赏生态的优势。

对于参与开源安全项目的中国企业和机构而言，此次暂停意味着需要调整漏洞管理工作流。团队应预期在向 Google 的 OSS VRP 提交产品漏洞报告时验证窗口会延长，优先考虑证据充分的提交，并可考虑使用云 VRP 或直接与项目维护者协作的渠道来报告关键发现。实际操作中，这将导致某些开源漏洞的悬赏激励暂时放缓，但也提供了聚焦高质量披露、加快响应的机会。