大量 AI“幻觉”报告压垮维护团队，谷歌暂停部分开源漏洞奖励计划

AI 总结
• 谷歌宣布自2026年10月1日起，开源软件漏洞奖励计划（OSS VRP）将不再接收产品漏洞提报，但此前已提交的产品漏洞不受影响。
• 对可能影响谷歌云产品的部分谷歌云代码仓库，如涉及产品漏洞，谷歌仍可能通过云漏洞奖励计划（Cloud VRP）接收相关报告。
• 暂停原因之一是大量声称发现严重漏洞的报告被核实为 AI“幻觉”，内容无效且无法实际利用，压垮了开源维护团队。
• 这些虚假报告挤占了维护人员验证和修复真实高危漏洞的时间，促使谷歌决定暂停并调整该计划。
• 谷歌表示将持续重组和优化 OSS VRP 机制，并计划于2027年第一季度公布最新进展。

【计划调整】
IT之家 10 月 4 日消息，谷歌宣布，自 2026 年 10 月 1 日起，开源软件漏洞奖励计划（OSS VRP）将不再接收产品漏洞提报。

本次规则调整不影响 2026 年 10 月 1 日之前已提交的产品漏洞。

【例外情况】
不过，针对部分可能对谷歌云（Google Cloud）产品造成影响的谷歌云代码仓库，如果涉及产品漏洞，谷歌仍可能通过云漏洞奖励计划（Cloud VRP）接收相关报告。

【计划背景】
OSS VRP 是谷歌设立的一项专业安全赏金计划，旨在通过激励独立安全研究人员，在谷歌整个开源生态系统中挖掘并负责任地披露安全缺陷。

【报告质量问题】
据 Tom's Hardware 报道，知情人士透露，谷歌工程师与开源代码维护人员已被数以千计的劣质报告彻底吞没。

这些报告声称发现了严重漏洞，但深入排查后发现，它们全都是 AI 产生的“幻觉”，根本无效且无法被实际利用。

【暂停原因】
维护团队不得不将大量精力耗费在验证这些虚假代码上，严重挤占了修复现实中高危漏洞的时间。

这正是导致谷歌最终叫停该计划的直接原因。

【后续安排】
IT之家获悉，谷歌官方表示，将持续对 OSS VRP 的相关机制进行重组与优化，并计划于 2027 年第一季度公布最新进展。

[来源链接] https://www.ithome.com/1/009/673.htm

我不太认同这种因噎废食的做法。AI“幻觉”报告确实会增加审核成本，但问题核心在于漏洞接收机制缺少门槛和分级。直接暂停产品漏洞提报，可能让真实风险被延后发现。更合理的方式是要求提交可复现 PoC、影响范围和利用链，对明显 AI 生成或无效报告建立降权、限流和黑名单，同时保留紧急通道。维护开源安全不该靠一刀切。