谷歌暂停开源漏洞奖励计划应对AI生成虚假报告冲击

谷歌宣布自2026年10月1日起暂停接收开源软件漏洞奖励计划（OSS VRP）的产品漏洞提报，该计划将不再接受新漏洞报告，但2026年10月1日前已提交的漏洞仍可处理。

据Tom's Hardware报道，谷歌工程师与开源代码维护人员被数以千计的AI生成虚假漏洞报告淹没。这些报告声称发现严重漏洞，但经核查均为AI产生的‘幻觉’，实际无法利用。

维护团队需耗费大量资源验证这些无效报告，导致修复真实高危漏洞的进度受阻。谷歌云代码仓库涉及产品漏洞的报告仍可通过云漏洞奖励计划（Cloud VRP）提交。

谷歌表示将持续优化OSS VRP机制，并计划于2027年第一季度公布重组方案。该计划旨在激励安全研究人员挖掘开源系统漏洞，但当前面临AI技术带来的挑战。

开源漏洞奖励计划自设立以来已发现大量安全缺陷，但近期AI生成的虚假报告数量激增，对维护团队造成实质性负担。