华为终端漏洞奖励计划更新规则：AI挖出漏洞须人工验证，大量提交AI幻觉误报将封禁账号

华为安全应急响应中心发布公告，更新华为终端安全奖励计划的漏洞报告处置规则。官方提到，近期收到大量借助AI工具挖掘的漏洞报告，不少附带PoC，但也存在AI幻觉带来的误报。为节省审核人力、聚焦真实漏洞，维护白帽子社区秩序，出台新提交规范与处罚机制。

漏洞报告硬性要求

使用AI或自动化工具找到漏洞，提交前必须人工分析、验证。官方鼓励白帽子提供完整EXP攻击链验证，材料需要包含：可运行的完整PoC；明确受影响产品、系统版本与危害说明，目标产品需在奖励计划覆盖范围并升级至最新鸿蒙版本；清晰简洁复现步骤；完整日志、截图或演示视频；攻击路径要从真实入口触发，证明存在实际安全影响。

禁止的不规范行为

两类行为被明确限制：

1. 批量重复提交AI直接产出、没有人工复现、无法触发、片段化验证、缺少实际安全影响证明的无效报告；
2. 歪曲事实、言语攻击、辱骂、骚扰工作人员、刷屏抹黑奖励计划等行为。

违规处置规则

• 第一类无效报告：直接驳回，不再单独解释驳回理由；累计3份无效报告触发提醒；累计5份，平台有权封禁漏洞奖励账号。
• 第二类恶意行为：可立刻终止或永久封禁个人/团队账号参与资格。

同时官方调整工具类漏洞受理范围：自2026年9月30日起，暂不受理DevEco等华为终端工具普通漏洞；但如果是工具公有仓供应链投毒漏洞，或是可借工具危害终端设备安全的高危漏洞，依旧可以提交评估。