Google因AI生成的漏洞报告暂停开源漏洞赏金计划

Google自身的表述削弱了“AI撰写的报告本质上就是问题”的简单叙事。一项对此次暂停的分析指出，问题不在于生成式AI撰写了这些报告——而在于其中太多是错误的。质量低劣、不完整以及存在幻觉的报告并不总是能立即被识别出来^[1]，这正是它们代价高昂的原因：即使是一个虚构的攻击路径，或关于某个函数无法按报告描述方式访问的断言，评审员仍需手动在源代码中追溯才能排除。Google确认触发因素是庞大的提交量，而非单纯的运气不好——自动化提交数量显著增加，其中绝大多数无效^[2]。这两个问题相互叠加：提交越多，意味着需要花费更多工时去证伪那些听起来合理的虚假报告，而这些评审时间直接挤占了原本可用于Go、Angular、Bazel和Fuchsia等项目真实漏洞的时间。Google自身的公开表述更偏向理性计算而非恐慌——公告读起来像例行行政通知，而非危机声明——但外部评论和媒体报道则解读得更为戏剧化，将其视为AI垃圾报告正在彻底破坏漏洞赏金计划的证据，并成为该事件中讨论最热烈的单一观点。

在被迫采取相同措施的主要项目中，Google是最后一个行动者，而非第一个。curl项目的维护者在2026年1月31日终止了运行六年的HackerOne赏金计划，估计约20%的提交为AI垃圾报告，而当年仅有约5%的报告是真正的漏洞——甚至出现过16小时内收到七份无效报告的情况^[3]。两个月后，HackerOne自身运营的互联网漏洞赏金计划（自2013年起资助开源修复）也完全停止接收新提交^[3]。Google的OSS VRP覆盖Go、Angular、Bazel、Protocol Buffers、Fuchsia及关键第三方依赖^[2]，只是迄今为止规模最大、最受关注的撞上同一堵墙的案例，这表明分类审查的经济模式正在全行业范围内崩溃，而非反映Google特有的管理失败。这种观点已渗入主流科技评论，“漏洞赏金是否已死”已成为一个独立于任何单一公司事件的反复出现的问题。

这些项目持续被淹没的原因在于一种成本不对称，而生成式AI正使这一问题每月恶化：如今提交一份漏洞报告的成本几乎为零，而验证一份报告仍需人类工程师的时间。所涉资金规模解释了为何Google选择暂停而非任由噪音无限堆积——自2010年以来，其VRP已支付超过8,160万美元^[2]，仅2025年就向700多名研究人员发放了1,710万美元，较2024年增长40%^[4]。单个OSS VRP奖励金额从100美元到31,337美元不等，另有补丁奖励通道为经验证的修复提供最高15,000美元的奖励^[2]。这是一个值得保护而非彻底放弃的项目，因此Google很可能只冻结了产品漏洞的接收入口，而非像curl完全退出HackerOne那样彻底关闭OSS VRP。

Google划定的界限比初看之下更为狭窄。冻结仅适用于新的OSS VRP产品漏洞提交——供应链报告及队列中已有内容继续处理^[1]——同时Google正积极引导研究人员转向其补丁奖励计划和云VRP^[5]。公司已承诺于2027年第一季度发布更新^[2]，这使得真正的问题仍未解决。在线讨论此次暂停的安全研究人员已在下注预测答案：赏金计划将通过缩小范围并以声誉为门槛限制访问，而非保持完全开放，因为如今压垮分类团队预算的是报告数量，而非报告质量。Google2027年第一季度的更新是否会确认或回避这一路径，才是值得关注的关键。