AI 无效报告泛滥，Google 暂停开源漏洞悬赏计划

英文标题：🔶 Google freezes open-source bug bounty program amid flood of invalid AI slop

Google 因大量由 AI 驱动、内容无效的漏洞报告，正式暂停其开源软件漏洞奖励计划（OSS VRP）中的产品漏洞提交。该暂停自 10 月 1 日起生效，不影响此前提交的漏洞，也不影响 OSS VRP 的供应链报告；部分影响 Google Cloud 产品的仓库报告仍可能通过 Cloud VRP 受理。Google 表示将在调整该计划期间推进相关工作，并承诺最晚于 2027 年第一季度提供更新。AI 自动化漏洞挖掘正在使维护者陷入低质量报告的审核负担，Linux 和 Intel 等项目或厂商也已出现类似情况。

打开原文相关 2 · 机会 2

中文

Google 已正式暂停其开源软件漏洞奖励计划（OSS VRP）——一项漏洞悬赏计划——中的产品漏洞提交，原因是涌入了大量无效的 AI 驱动报告。该公司在 10 月 1 日发布的官方 X 帖文中鼓励参与者探索其他 VRP 项目，并表示将在此期间重整和处理该计划的这一部分，承诺最晚于 2027 年第一季度提供更新。

暂停措施于公告发布当日，即 10 月 1 日生效，且不影响在该日期之前提交的产品漏洞。Google 表示，对于“部分影响 Google Cloud 产品的 Google Cloud 仓库”，其仍_可能_通过 Cloud VRP 接受产品漏洞报告。此次暂停同样不影响 OSS VRP 的供应链报告。类似地，由于大量虚假的 AI 生成漏洞报告，Linux 已停止支持较旧的网络驱动程序。

OSS VRP 是一项专门的 Google 安全漏洞悬赏计划，旨在激励独立研究人员发现并负责任地披露 Google 开源生态系统中的安全缺陷。在该计划下，产品漏洞提交主要聚焦于 Google 公开仓库内的代码缺陷、逻辑漏洞或设计错误。这通常是一项需要专业技能、耗时且依赖人工完成的工作。然而，随着大语言模型（LLM）和自动化 AI 漏洞挖掘脚本的兴起，这项任务所需的成本和精力几乎被消除，随之而来的是大量低投入、由 AI 生成的漏洞报告。

据报道，Google 工程师和开源维护者正被数千份措辞糟糕的报告压得喘不过气；这些报告声称发现了漏洞，但实际完全无效，或属于无法利用的幻觉内容。维护者最终不得不花费过多时间人工验证代码，而非真正修复真实且严重的漏洞。这正是该计划被暂停的原因。

类似情况正在整个行业上演。本月早些时候，在 AI 驱动的漏洞挖掘者将 Linux 内核每个版本的漏洞数量推至创纪录的 2,000 个后，Linux 维护者表示他们已被 CVE 发现报告“彻底淹没”。Intel 也暂停了其漏洞悬赏计划，该计划此前每个漏洞最高支付 10 万美元。该公司并未正式确认 AI 生成报告是采取这一举措的原因，但专家怀疑情况正是如此。

English / 原文

Google has officially suspended product vulnerability submissions to its Open Source Software Vulnerability Reward Program (OSS VRP) — a bug bounty program — over an influx of invalid AI-driven reports. The company, in an official X post on October 1, encouraged participants to explore other VRP programs and committed to providing an update by the first quarter of 2027, while it reformats and works on this aspect of the program in the meantime.

Go deeper with TH Premium: AI shortages

The suspension went into effect on October 1 — the day of the announcement — and does not affect product vulnerabilities submitted before that date. Google said it may still accept reports covering product vulnerabilities through the Cloud VRP, “for some Google Cloud repos impacting Google Cloud products.” The suspension also does not affect OSS VRP supply chain reports. In a similar case, Linux ended support for older network drivers due to an influx of false AI-generated bug reports.

OSS VRP is a specialized Google security bounty program that incentivizes independent researchers to find and responsibly disclose security flaws across Google's open-source ecosystem. Under this program, product vulnerability submissions focus on code defects, logic flaws, or design bugs within Google's public repositories. This was usually painstaking, manual work requiring skill. However, the rise of large language models (LLMs) and automated AI bug-hunting scripts has nearly eliminated the cost and effort the task required, leading to an influx of low-effort, AI-generated bug reports.