Google 暂停开源漏洞奖励计划的产品漏洞提交：自动化报告激增且大多无效，2027 年一季度再给说法

这件事意味着什么

【要点】

Google 10 月 1 日通过官方漏洞奖励账号 @GoogleVRP 宣布，暂停接收开源软件漏洞奖励计划（OSS VRP）中的「产品漏洞」提交，覆盖 Go、Angular、Protocol Buffers 等 Google 维护的开源项目。原因是「自动化提交大幅增加，其中绝大多数无效」。供应链类报告不受影响，10 月 1 日之前已提交的报告照常处理。Google 承诺 2027 年第一季度给出更新，但没有给重新开放的日期。

【可核验】

公告原文见 @GoogleVRP 10 月 1 日的帖子，计划规则页随后加了同样的说明，SecurityWeek、BleepingComputer、The Hacker News 等安全媒体 10 月 5 日起陆续跟进。Google 没有公布具体数量，也没有直接说这些提交是用 AI 生成的，只说是「自动化提交」。按 Google 官方页面，这个计划下旗舰项目的产品漏洞奖金为 500 到 7500 美元，供应链漏洞最高 31337 美元。据 The Hacker News，Google 今年 3 月已开始要求部分档位提供更强证据（例如已合并的补丁）来过滤低质量报告；Go 项目 9 月初在安全政策里加了专门针对大模型生成报告的条款，要求先人工审核筛选再提交。据 SecurityWeek，Google 今年 5 月已调整 Chrome 和 Android 的奖励规则，HackerOne 运营的 Internet Bug Bounty 也在 3 月暂停了新提交。

【我们的判断】

这件事的意义不在一个奖金项目停了，而在于它说明 AI 找漏洞已经便宜到改变了漏洞奖励的经济账：提交一份报告几乎零成本，判断它真假却仍要靠维护者的人力，奖金反而在鼓励批量投递。Google 选择保留供应链报告、只停产品漏洞，说明真正被淹没的是容易让工具「批量猜」的那一类。接下来值得看的是，各家会不会普遍改成要求可运行的复现、已合并补丁这类机器难以伪造的证据，以及模型厂商自己的安全扫描工具能不能把误报压下来。在这些机制出来之前，「AI 能大规模发现漏洞」和「开源社区能处理这些发现」之间的落差，会继续由维护者承担。