安全與風險國際

Google 暫停開源產品漏洞賞金計畫因 AI 生成報告激增而止收新件

Google 於 2026 年 10 月 1 日停止接受其開源軟體漏洞賞金計畫（OSS VRP）之新產品漏洞提交，原因是大量無效的 AI 生成報告壓垮了維護者。

nullbot 編輯部發布於 2026年10月5日閱讀約 3 分鐘資料來源 (2)

2026 年 10 月 1 日，Google 正式宣布暫停接受其開源軟體漏洞賞金計畫（OSS VRP）中新的產品漏洞提交，並指出此舉是因為 AI 生成的無效報告激增，已壓垮維護者的工作負荷。

暫停的範圍與例外

本次暫停僅針對 OSS VRP 的產品漏洞類別，未波及 Google 其他賞金計畫。雲端漏洞賞金計畫、開源供應鏈相關的提交仍繼續受理，且在 10 月 1 日之前已提交的漏洞仍屬於有效範圍。

Google 表示，針對 Google Cloud 儲存庫中影響雲端產品的缺陷，仍可透過獨立的雲端 VRP 進行追蹤與獎勵，確保關鍵基礎設施的安全不受此暫停影響。

內部分析指出，AI 生成的自動化提交數量出現「顯著增加」，而其中絕大多數被判定為無效。這些報告往往描述幻覺式、不可利用或根本不存在的缺陷，迫使維護者必須投入大量時間進行重現與拒絕，導致真正的安全問題被延遲處理。

隨著掃描與報告生成成本的下降，漏洞研究變得更加民主化，更多研究者得以發現真實缺陷。然而，同時也移除了過去自然過濾低品質提交的屏障，使得自動化工具能在極少人工監督下產出數千份合成報告。

許多以志願者身分參與的開源維護者反映，無效報告的湧入已嚴重分散資源，讓本應用於真實安全修補的時間被耗費在重現幻覺缺陷上，進一步加劇社群成員的倦怠感。

Google 強調，此次暫停僅為臨時措施，目的是在重新設計 OSS VRP 受影響部分期間減少噪音。公司尚未公布具體的替代驗證規則，但表示計畫不會永久關閉，將在 2027 年第一季提供更詳細的更新。

未來可能引入更嚴格的提交標準，包括要求可重現的證據、驗證過的影響說明以及人工審查步驟，只有符合這些條件的報告才會進入賞金流程。

TechCrunch 與 Tom’s Hardware 均將此決策與 Linux 以及更廣泛的開源生態系面臨的低品質漏洞報告淹沒問題相聯繫，兩家媒體的報導時間線與理由一致，未見其他計畫的額外說法。

對於依賴外部漏洞披露的安全團隊而言，此次暫停提醒必須加強內部審核流程。要求提交前提供可重現的證據、明確的影響說明以及人工審查，可在工單進入分析階段前過濾掉大量 AI 生成的噪音，降低分析師追逐虛幻威脅的風險。

此情況亦凸顯賞金平台與開源專案之間協調的必要性。制定明確的有效報告定義，結合自動化預篩選以標記可能的幻覺報告，能減輕維護者負擔，同時保留活躍漏洞賞金生態系的正向效益。

對於參與開源安全計畫的台灣及其他華語組織而言，此暫停意味著必須調整漏洞管理工作流程。團隊應預期 Google OSS VRP 產品漏洞報告的驗證窗口將延長，優先處理具備充分證據的提交，並考慮使用雲端 VRP 或直接與專案維護者協調等替代渠道，以處理關鍵發現。

實務上，這可能暫時減少某些開源漏洞的賞金收入，但同時也提供了聚焦高品質披露、加速回應的機會，使安全生態系更具韌性。

最後，Google 表示將持續與開源社群保持對話，尋求長期解決方案，以在不犧牲安全品質的前提下，讓 AI 技術成為漏洞發現的助力，而非噪音的根源。