大量AI“幻觉”报告压垮维护团队,谷歌暂停OSS VRP产品漏洞提报

谷歌对开源安全赏金计划做了一次关键调整: 开源软件漏洞奖励计划 (OSS VRP) 自 2026 年 10 月 1 日起不再接收产品漏洞提报。表面看是流程收紧, 背后却指向一个更现实的问题——AI 生成的虚假漏洞报告, 正在成为开源安全维护的新负担。

📌 OSS VRP 为何重要

OSS VRP 是谷歌面向开源生态设立的安全赏金项目,目标是通过外部研究者的参与, 更早发现并负责任地披露开源代码中的缺陷。对开源项目而言, 这类计划既是激励, 也是补充人力不足的一种方式。

🔍 AI“幻觉”报告如何压垮维护团队

据 Tom’s Hardware 报道, 知情人士透露, 谷歌工程师和开源代码维护人员已经被大量低质量报告淹没。这些报告往往声称发现了严重漏洞, 但深入核查后却发现是 AI 生成的“幻觉”, 既无法复现, 也不具备实际利用价值。

问题不在于报告数量单一增加,而在于验证成本 。维护团队需要逐条排查、复现和判断, 投入的时间原本可以用于修复真实存在的高危漏洞。 当虚假报告持续涌入, 赏金计划的筛选机制就会反过来消耗安全资源。

谷歌官方表示, 将持续对 OSS VRP 相关机制进行重组与优化, 并计划于 2027 年第一季度公布最新进展。

💡 新规留下了哪些例外

• 时间边界:2026 年 10 月 1 日之前已提交的产品漏洞不受本次调整影响。
• 云业务例外: 如果涉及可能影响谷歌云产品的谷歌云代码仓库, 相关产品漏洞仍可能通过云漏洞奖励计划 (Cloud VRP) 接收。
• 机制未终结: 谷歌称将继续重组优化 OSS VRP, 后续安排待公布。

📊 影响与看点

这次调整不只是谷歌一家赏金计划的规则变化, 也反映出 AI 普及后漏洞报告生态面临的新挑战。

• 对开源维护者来说, 验证成本上升可能进一步加剧人力紧张。
• 对赏金平台来说, 如何识别 AI 批量生成的无效报告, 正在成为基础能力。
• 对安全研究者来说, 提交质量和可复现证据的重要性会被进一步放大。

AI 工具降低了漏洞挖掘与报告撰写的门槛,但也让“看起来像漏洞”的内容变多。若缺少有效过滤, 赏金计划很容易从激励发现转向消耗维护。

🚀 总结

谷歌暂停 OSS VRP 产品漏洞提报 , 直接原因指向 AI“幻觉”报告带来的维护压力。后续能否通过机制重组解决问题, 将影响开源安全赏金模式的可持续性。对行业而言, 这更像一次提醒: 当 AI 让报告生成变得廉价, 验证与筛选就必须变得更强。