华为终端安全奖励计划要求 AI 挖掘漏洞提交前必须人工验证

封面为AI生成的主题示意图，非新闻现场照片。

10 月 14 日消息，华为安全应急响应中心发布公告，针对近期大量利用 AI 工具辅助挖掘的漏洞报告提出新的处置规则。官方指出，尽管这些报告大多提供了概念验证（PoC）代码，但不可避免地存在因 AI“幻觉”误导而产生的误报问题。为合理分配审核资源并聚焦真实有效的漏洞，华为要求所有提交至终端安全奖励计划的报告，若涉及 AI 辅助或自动化发现内容，务必在提交前进行人工分析和验证。报告需包含动态可执行的完整 PoC、受影响产品版本说明以及清晰复现步骤和日志截图。公告同时列出了禁止行为，包括持续提交未经人工复现的无效报告、歪曲事实或实施言语攻击等。平台将直接驳回第 1 类不规范报告，累计提交 3 份无效报告的账号将被提醒，达到 5 份则面临封禁资格。针对第 2 类恶意行为，华为保留立即终止参与者资格或实施永久封禁的权利。此外，自 2026 年 9 月 30 日起，平台暂不受理华为终端工具（如 DevEco）的常规漏洞，但供应链投毒类或能影响设备安全的影响性漏洞仍可提交评估。此次调整旨在维护社区生态健康有序，鼓励白帽子提供专业、友好的协作环境，确保有限的安全审核资源能够高效处理真实威胁，推动鸿蒙系统及终端设备的安全防护能力提升。