AI“幻觉”漏洞报告激增，谷歌将暂停 OSS VRP 部分产品漏洞提报
据 IT之家 10 月 4 日消息，谷歌已宣布调整其开源软件漏洞奖励计划（OSS VRP）：自 2026 年 10 月 1 日起，该计划将不再接收产品漏洞提报；在此日期之前已经提交的产品漏洞不受影响。来源显示，谷歌仍可能通过云漏洞奖励计划（Cloud VRP），接收部分与谷歌云（Google Cloud）产品相关、且来自特定谷歌云代码仓库的产品漏洞报告。此次变化的背景并非传统意义上的预算收缩，而是与大量由 AI 生成的低质量漏洞报告有关。
OSS VRP 原本是谷歌面向开源生态设立的专业安全赏金计划，目标是鼓励独立安全研究人员发现并负责任地披露安全缺陷。但据 Tom’s Hardware 报道，知情人士称，谷歌工程师和开源维护人员近期被数以千计的劣质报告淹没。这些报告往往声称发现严重漏洞，但经排查后被确认是 AI 生成的“幻觉”内容，既无效，也无法被实际利用。大量无效报告占用了维护团队的验证资源，并挤压了处理真实高危漏洞的时间。
从“安全众包”到“AI 噪声”：漏洞奖励机制面临新压力
漏洞奖励计划的核心，是把外部安全研究人员的发现能力引入产品和开源项目的安全治理中。对大型科技公司而言，这类机制能够扩大审计覆盖面；对研究人员而言，也提供了披露路径和奖励激励。然而，生成式 AI 工具普及后，漏洞报告的生产门槛显著降低。一些提交者可能利用模型批量生成看似专业的分析、调用栈、补丁建议或漏洞描述，却没有进行必要的复现和验证。
这使维护团队面对一个新问题：报告数量增加，并不等于有效漏洞增加。相反，如果大量内容只是模型根据代码片段“推测”出来的安全风险，维护者仍需投入时间阅读、构建环境、复现、排查和回复。AI 并没有直接攻击软件，但它放大了低质量安全提报的规模，让原本依赖人工协作和信任机制的开源安全流程承压。
- 调整时间：自 2026 年 10 月 1 日起，OSS VRP 不再接收产品漏洞提报。
- 存量处理：该日期前已提交的产品漏洞不受本次规则变化影响。
- 例外情况：部分可能影响 Google Cloud 产品的谷歌云代码仓库，仍可能通过 Cloud VRP 接收报告。
- 后续安排：谷歌表示将继续重组与优化 OSS VRP，并计划于 2027 年第一季度公布最新进展。
对开源生态的影响：AI 安全工具需要更强“可验证性”
从中文开发者和企业安全团队的角度看，这一事件值得关注。AI 正在被越来越多地用于代码审计、漏洞挖掘和安全运营，但安全领域对结果的要求与普通文本生成不同：一个漏洞结论必须可复现、可验证，并能说明影响范围。若缺乏证据链，AI 生成的安全报告很容易变成噪声。
谷歌暂停 OSS VRP 的部分接收范围，也提示开源项目维护方可能需要重新设计提交流程。例如，要求提交者提供最小复现样例、受影响版本、实际利用路径、测试环境说明，或对 AI 辅助生成内容进行明确标注。对漏洞奖励平台而言，未来可能还需要引入更严格的预筛选机制，把明显不可复现、描述空泛或由模型拼接而来的报告挡在维护者工作流之外。
解读：AI 能提升安全效率，也可能制造安全负担
这次事件并不意味着 AI 不适合用于安全研究。相反，AI 在代码理解、模式匹配、日志分析和自动化测试方面仍有价值。但它也说明，安全行业不能把“生成速度”误认为“发现能力”。当模型输出缺乏真实验证，批量化提交就会把成本转嫁给开源维护者和工程团队。
对企业来说，使用 AI 安全工具时应建立内部验证闭环，而不是把模型结论直接提交给上游项目或厂商。对个人研究者而言，AI 可以作为辅助阅读和假设生成工具，但最终报告仍需依赖复现、证据和影响分析。谷歌此次调整，可能会成为大型厂商重新审视开源漏洞奖励规则的一个信号：在 AI 时代，漏洞披露机制不仅要鼓励发现，也要防止“幻觉式安全报告”消耗公共维护资源。