谷歌已暂停其开源软件漏洞奖励计划，该计划向安全研究人员在公司开源项目中发现漏洞提供报酬，原因是自动化提交的、基本上无用的提交激增。该暂停于 10 月 1 日生效，谷歌表示参与者预计将在 2027 年第一季度进行更新。
该公告发布在 X 和该项目自己的网站上，谷歌对关闭给出了异常直率的解释。该公司表示：“这次暂停是由于自动提交的数量大幅增加，其中绝大多数都是无效的。”换句话说，报告的传送速度并没有减慢——它已经被噪音淹没了，而这些噪音几乎都不是人为的。有关生成工具如何重塑软件生态系统的更多报道，请参阅我们的最新人工智能发展。
暂停的程序实际上做了什么
开源软件漏洞奖励计划（通常缩写为 OSS VRP）是 Google 奖励在公司发布和维护的开源代码中发现安全缺陷的外部研究人员的工具。该计划并没有将赏金限制在谷歌的专有产品上，而是将奖励范围扩大到开源项目中发现的漏洞，其理论是，如果有激励措施，安全社区将更快地发现漏洞。
该模型仅在信噪比可控时才有效。一小组程序审查员必须对每份收到的报告进行分类，重现所声称的漏洞，判断其严重性，并决定奖励。每一份无效报告都会消耗与真实报告相同的员工时间，并且与真实报告不同的是，它不会产生任何回报。
工程师们正沉浸在幻觉的发现中
Tom's Hardware 更详细地报道了 Google 声明背后的实际操作情况，该公司发现 Google 工程师和开源维护人员被无效或包含完全幻觉的报告淹没了。这就是人工智能辅助漏洞研究的标志性失败模式：语言模型可以生成看起来形式正确的报告（包含受影响的组件、重现步骤和影响分析），同时描述根本不存在的错误。
对这样的提交进行分类并不是十秒钟的驳回。审核者必须阅读报告，检查所声明的代码路径，并在拒绝之前验证该缺陷是否是伪造的。如果乘以大量的自动提交，整个项目的经济效益就会崩溃。该赏金计划旨在扩大人类研究人员的规模，但却成为针对其本应合作的审稿人的拒绝服务攻击。
警告提前一年到达
停顿并非凭空而来。 TechCrunch 指出，去年有报道称，网络安全专家警告称，人工智能漏洞对漏洞赏金计划构成严重风险。预测很简单：由于生成模型几乎可以免费生成看似合理的技术文档，因此提交虚假或低质量报告的成本将降至零，而审查报告的成本保持不变。
这种不对称现象现在正在世界上最大的科技公司之一上演。整个行业的漏洞赏金平台一直在尝试对策——更严格的提交要求、工作证明要求、声誉系统——但谷歌选择了最直接的工具：完全停止接受报告，直到解决问题。
与此同时，研究人员会发生什么
谷歌向参与者传达的信息是重新调整他们的努力方向。在此期间，研究人员被鼓励考虑该公司的其他错误赏金计划，这些计划涵盖了谷歌的旗舰产品，并且似乎运行正常。 OSS VRP 本身承诺在 2027 年第一季度进行更新，尽管谷歌没有透露更新将采取什么形式——新的提交过滤器、身份验证、人工智能辅助分类或重新设计的奖励结构都是可能的方向，但该公司没有公开承诺其中任何一个。
对于合法的安全研究人员来说，冻结是真正的成本。 10 月 1 日之前发现的开源漏洞的工作目前处于悬而未决的状态，并且没有迹象表明谷歌是否会尊重在截止日期附近提交的报告或要求提交者在重新启动后重新提交。
开源维护压力测试
这里更深层的故事是关于开源维护的经济学。志愿者维护人员已经在应对人类用户生成的大量功能请求、拉取请求和问题报告。人工智能生成的内容立即提高了每个渠道的基线负载：错误报告、安全披露、文档问题和代码贡献现在都可以由与项目实际健康状况无关的参与者以工业规模生成。
谷歌的回应——完全关闭安全计划的大门——这种措施在十八个月前看来是不相称的。该公司自己的框架认为，绝大多数自动提交都是无效的，这表明摄入问题的增长速度超过了任何过滤方法所能吸收的速度。 2027 年第一季度的重新启动是否能够恢复可行的信噪比，将在很大程度上说明 bug 赏金计划作为一个机构是否能够在自由文本生成时代生存下来。
在那之前，向安全研究社区传达的信息是令人沮丧的：漏洞仍然存在，理论上奖励仍然存在，但谷歌目前不接受寻找这些漏洞的帮助。
---
保持人工智能领先地位获取最新的人工智能新闻、分析和突破——尽在一个地方。
阅读更多人工智能新闻 →
