谷歌冻结开源漏洞赏金产品缺陷提交至2027年：AI幻觉垃圾报告淹没维护者

谷歌于10月1日官宣，开源软件漏洞奖励计划OSS VRP暂停接收产品类漏洞提交，该板块将一直冻结到2027年Q1，核心诱因是海量AI生成的虚假漏洞报告，把维护团队人力消耗殆尽。

该暂停措施官宣当日立即生效，但10月1日前提交的报告不受影响。规则上，本次冻结仅针对产品漏洞；供应链相关漏洞申报通道维持开放。部分Google Cloud仓库的产品漏洞，仍然可以走Cloud VRP渠道提交。

OSS VRP原本用来激励安全研究员挖掘谷歌开源项目中的代码漏洞、逻辑缺陷，这类工作过去高度依赖人工深度审计。但随着大模型、自动化AI漏洞扫描脚本普及，大量低成本批量产出的漏洞报告涌入，其中绝大多数属于AI幻觉：报告声称存在安全缺陷，实际代码并无可利用漏洞。数千份低质量报告让工程师耗费巨量时间人工核验，挤占了处理真实高危漏洞、修复代码的精力，最终谷歌选择暂停该板块并重构计划。

这并非孤例，行业已经接连出现同类困境：Linux内核维护者表示，AI漏洞猎人带来大量虚假CVE申报，单版本收到2000条漏洞报告，维护工作不堪重负；Intel也关停了最高10万美元单项奖励的漏洞赏金计划，业内普遍推测AI生成无效报告是背后诱因。