Google OSS 赏金暂停：AI 发现需要先验证

Google 从 2026 年 10 月 1 日起，不再接受开源软件漏洞奖励计划中新的产品漏洞提交。公司给出的原因是自动化提交大幅增加，其中绝大多数无效。Google 预计在 2027 年第一季度提供下一次更新。

这只是一个提交类别暂停，不是 Google 全部奖励计划关闭，也不是禁止 AI 辅助研究。它暴露了更具体的失衡：生成一份貌似可信的安全主张已很便宜，判断主张是否成立，却仍需要稀缺的专业人员。

哪些入口暂停，哪些仍然开放

Google 在 2022 年推出 OSS VRP，覆盖符合条件的开源安全问题。产品漏洞报告涉及代码、逻辑或设计缺陷。10 月暂停的是这一类别的新提交，截止日期之前收到的报告仍可进入处理。

供应链报告仍然开放。涉及部分 Google Cloud 代码仓库的问题，也可能按受影响产品与规则进入 Cloud VRP。Chrome、Android、设备与 AI 安全等其他 Google 计划继续运作。研究者需要检查实际范围，不能假定每个仓库都具有同样的替代入口。

暂停之前，Google 已修改规则。2026 年的要求包括验证 AI 辅助发现，并证明实际安全影响。4 月，公司取消了某些低层级产品漏洞及其他安全问题的金钱奖励和公开致谢。更窄的激励与证据调整，仍未避免后来的全面类别暂停。

Google 没有披露该入口的精确提交量、接受率或积压。二手报道描述了数千份低质量材料，但这不是官方通知给出的数字。“大多数无效”足以说明严重质量问题，却不能提供完整统计基线。

替代安排尚未公开确定。经过测试的复现、提交限额、身份要求与自动筛选，都只能视为可能方案，而不能写成已宣布的重开条件。

模型可以找到可疑操作，编写攻击叙事，再附上专业化的严重程度评估。但该操作可能根本接收不到攻击者输入，执行路径不可达，或已有有效验证。一项真实编程错误，也可能在项目威胁模型下没有安全后果。

审查者必须重建这些条件，检查版本、复现行为、分析缓解措施并查重。一个虚构函数或触发条件，可以隐藏在大体连贯的技术解释中。文档写得好，已不能替代研究证据。

开源安全基金会的 Christopher Robinson 在 3 月报道中估计，一些原本每周只收到两三份报告的项目，后来一次收到数百份。他称单份调查可能带来两到八小时计划外维护工作。这些是跨项目的受访者观察，不是 Google 专属队列测量。

奖励会放大失衡。提交者可以批量生成猜测，由接收项目承担大部分验证成本。重复发现、夸大严重程度、误解已记录行为，都与真实问题竞争注意力。即便动机良好，过量提交也会挤占修复时间。

关键不是模型是否参与写作。翻译、解释与生成测试都能帮助正当研究，但仍须有人理解可达路径、复现结果，并回答后续技术问题。把未经验证的 AI 主张改写成人工文风，也不会让它变成已验证事实。

Google 继续开发 OSS-Fuzz、Big Sleep、CodeMender 等 AI 辅助防御。内部团队可以定义目标、收集执行证据并审查补丁。外部奖励计划却要接收来自不同工具与环境的提交，缺少同样受控的完整过程。

Google 的整体奖励规模仍然很大。年度回顾称，2025 年向七百多名研究者支付超过 1,700 万美元，比 2024 年增长超过 40%。这是更广泛计划的总计，不是暂停类别的预算或生产率。

报道还提供了另一组对照。Anthropic 称 Claude Opus 4.6 发现了五百多个此前未知的开源漏洞，每项在披露前经人工或外部研究者验证。Mozilla 在两周内收到 112 份报告，发布 22 项安全公告，其中 14 项为高危；许多其他发现被归为非安全错误。

这些单位必须分开：报告、安全公告与已验证漏洞不能互换计数。例子支持机器发现加专家验证的流程，而不是保证任何模型报告都可靠。

自动分流也可能帮助归并重复内容、索取缺失证据，但它同样会犯错。两个模型意见一致，弱于独立可复现的测试。异常发现与分歧仍需要人工升级渠道。

curl 在 2026 年 1 月 31 日结束自 2019 年运行的金钱赏金。Daniel Stenberg 称项目期间确认过 87 个漏洞，但被确认为漏洞的提交比例从此前超过 15%，降至 2025 年的不足 5%。

他的解释包括 AI 低质量内容、其他报告质量下降，以及对奖励的过度关注。取消付款没有终止负责任披露：私有 GitHub 报告和电子邮件仍是渠道。这种方式针对激励，同时承认认真独立研究者也可能失去动力。

Linux 则面对不同研究者用类似工具反复发现同一问题。私下处理让提交者看不到既有讨论或修复，维护者不断重复核查。Torvalds 因此主张，许多容易被广泛重新发现的问题应走公开项目渠道，真正需要保密的情况除外。

这不是要求公开所有尚未修复的利用链。内核规则强调简洁描述、受影响版本、触发条件、经过测试的复现和实际影响。报告者应理解代码、联系正确维护者，并尽可能提供补丁。

HackerOne 称，更强的 AI 工具在 2026 年 2 月出现后，行业报告量增长超过 100%。其分析同时包括有价值发现、重复内容与无法验证的主张。平台强调可复现证据、准确严重程度与现有防御；大量未验证提交可能触发处置。这是平台观察，不是 Google 的无效报告率。

三种干预不同：Google 暂停类别，curl 移除金钱激励，Linux 调整报告要求与路径。共同限制是专家注意力，特别是商业依赖项目由志愿者维护时。

严格门槛可以保护审查者，也可能隐藏真实漏洞。声誉制度偏向已有研究者，押金或不透明邀请制可能排除新人。强制提供完整利用，也可能鼓励危险测试，尽管最小化受控复现已足够。

合理证据应说明提交版本、环境、攻击者可控部分、触发输入和跨越的安全边界，并记录实际测试了什么，区分推断与观察，保护未修复细节。不必要求造成伤害的利用，更不应迫使敏感代码进入未经批准的托管模型。

筛选应该针对缺少证据，而不是把 AI 风格当作无效证明。没有可靠的文风测试可以判断漏洞真假。申诉和专家升级很重要，因为不常见的攻击链未必符合简单模板。

下一次更新将显示 Google 会用更清晰证据规则重开，还是缩小参与范围。有效指标包括确认率、重复率、审查和修复时间、维护者负担与误拒，而不只是提交变少。不同项目经历也不同，包括 Mozilla 此前曾报告无效材料拒绝率保持稳定，因此 Google 不能代表整个生态。

建设性的边界，是把发现规模和提交规模分开。智能体可以广泛探索，但交给人的应是已验证、去重、由明确负责人承担责任的结果。Google 暂停并非证明 AI 不会找漏洞，而是说明无限假设必须有人证实，才会成为安全价值。

参考来源

浏览工具目录 →