共计 1015 个字符，预计需要花费 3 分钟才能阅读完成。
IT 之家 10 月 14 日消息, 华为安全应急响应中心今日发布华为终端安全奖励计划关于后续漏洞报告处置规则的公告。
官方表示, 今年收到了大量利用 …
导语:华为安全应急响应中心近日发布公告,调整终端安全奖励计划规则。公告称, 今年收到大量 AI 辅助挖掘的漏洞报告, 多数附带 PoC, 但仍存在因 AI“幻觉”导致的误报。平台要求相关报告提交前必须人工分析和验证。
📌 AI 挖洞提速, 误报成审核负担
随着 AI 工具进入漏洞挖掘流程,白帽子生成候选报告的速度加快。华为认可不少报告附有 PoC, 但也指出 AI 幻觉会带来误报。审核团队逐条核查将消耗大量资源。新规意在把有限审核资源集中到真实有效的漏洞上, 同时维护社区生态。
从已披露信息看, 这一变化更值得关注的, 不只是表面动作本身, 还包括其对后续行业节奏、用户预期和市场竞争的连锁影响。
🔍 提交前人工验证, 并证明实际影响
- 动态可执行的完整 PoC;
- 受影响产品、系统版本和危害说明, 产品须在奖励计划范围内并升级至最新 HarmonyOS;
- 报告清晰易懂, 复现步骤简洁;
- 完整日志及结果截图或演示视频;
- 攻击路径须从实际攻击场景入口触发, 并证明产生实际安全影响。
💡 无效报告与恶意行为处置
平台禁止持续、重复、大量提交 AI 直接生成、未经人工复现、未通过最新接口触发、截取不完整代码分析, 或未证明实际安全影响的无效报告。也禁止恶意抹黑奖励计划, 以及辱骂、威胁、骚扰工作人员和刷屏留言等行为。
处置上, 无效报告会被直接驳回,且不逐一说明原因 。累计提交 3 份无效报告的账号将被提醒; 累计达到 5 份, 平台有权封禁其奖励计划账号。对于恶意行为, 平台可立即终止账号持有人(含团队或组织) 的参与资格, 或永久封禁。
📊 工具类漏洞受理范围调整
公告还调整了工具类漏洞受理范围。自 2026 年 9 月 30 日起, 暂不受理华为终端工具 (如 DevEco 等) 的漏洞。但若发现可导致自研工具公有仓供应链投毒, 或利用该工具影响终端设备安全的漏洞, 仍可提交, 平台将综合评估后答复。
🚀 AI 提效之后, 验证责任回到人
这次调整传递出清晰信号:AI 可提升漏洞挖掘效率, 但不能替代人工验证。平台把审核成本前置给提交者, 要求报告具备可复现、可证明的安全影响。对白帽子而言, 与其堆量提交, 不如提高报告质量。华为的新规也提醒行业,AI 辅助安全研究需要更严格的验证标准, 否则误报会稀释奖励计划的价值。真正能获得认可的, 仍是经过人工验证并具备实际影响的漏洞报告。
