2026年10月1日，Google宣布暂时停止接收其开源软件漏洞奖励计划（OSS VRP）的新产品漏洞报告。官方声明的措辞直白得罕见——该项目因AI生成的无效提交大量涌入而被迫暂停，恢复时间不早于2027年第一季度。这不是某家公司的偶发事件，而是整个漏洞赏金行业在2026年共同面对的结构性危机的缩影。
发生了什么：AI生成的漏洞报告如何淹没了bug赏金
Google在10月1日通过官方项目页面和X账号同步发布了这一决定。声明全文仅有一段核心内容：由于自动提交的数量显著增加，其中绝大多数是无效的，我们暂停接收OSS VRP的新产品漏洞报告。
在此之前，Google曾在2026年3月调整过奖励规则，试图通过提高证据门槛来过滤低质量报告——但这次修改被证明还不够。
根据TechCrunch在10月4日的报道，以及后续多家的跟进调查，这次危机的直接原因是有安全研究人员用AI工具批量生成漏洞报告。这些报告看起来完整：有文件路径、有可疑代码行、有戏剧性的影响描述，还有修复建议。但维护者实际测试后却发现：代码在发布产品中根本不可达，或者描述的触发方式根本不存在。
问题的本质在于成本不对称。一份由AI生成的漏洞报告可以在几秒钟内完成，而且成本极低；但安全研究员或项目维护者验证每一份报告都需要花费时间和精力。当提交量急剧上升而有效报告的比例反而下降时，审查成本的增长速度远超发现的真实漏洞带来的价值。
受影响的不只是Google：行业性的bug赏金危机
在这次暂停之前，多个信号已经指向同一个趋势。2026年3月，Google更新规则时指出，项目已经看到大量AI生成报告的涌入，并点名了两个反复出现的问题：描述中幻觉化地描述漏洞如何被触发，以及代码问题看起来技术上真实但影响微乎其微（因为路径不可达或超出项目安全模型）。
不仅是Google。Linux内核维护者此前已经反映，部分版本周期内的漏洞报告数量高达2000条，其中大量来自自动化工具。在Google之前，英特尔已经暂停了其漏洞赏金计划——该计划曾为每个漏洞支付高达10万美元。
这次暂停覆盖的范围比标题所暗示的更窄：它只影响产品漏洞报告。供应链报告（涉及构建完整性或源代码分发威胁）不受影响；10月1日之前提交的报告继续处理；某些涉及Google Cloud产品的仓库报告仍可通过Cloud VRP提交。
对安全研究的影响：如何在这一变化中保持有效提交
对于依赖漏洞赏金收入的研究人员来说，这次暂停关闭了一条常用渠道，但不是全部渠道。Google的Patch Rewards计划（为开源项目安全改进而非漏洞报告支付报酬）和主要的Google VRP仍然开放，只是门槛更高。
有经验的猎人在调整策略时，会关注三个方向：提供可工作的概念验证代码而非文字描述；聚焦供应链攻击面而非纯产品漏洞；以及通过长期参与特定项目建立声誉，使自己的报告更容易通过审核。
FAQ：关于Google OSS VRP暂停的三个关键问题
Q：Google OSS VRP完全关闭了吗？
不是完全关闭。暂停的范围仅限于新产品漏洞报告（product vulnerability reports），于2026年10月1日生效。供应链相关报告、10月1日之前提交的待处理报告，以及Google Cloud VRP等专项计划均不受影响。
Q：AI生成漏洞报告有什么问题？
AI工具可以快速生成格式完整、看起来专业的漏洞报告，但容易出现两类错误：一是幻觉化地描述漏洞触发路径（代码路径在发布版本中不可达）；二是描述代码问题时技术上看起来真实但影响可以忽略不计（不在项目安全模型范围内）。每份这样的无效报告仍需人工验证，消耗的是稀缺的安全研究审查资源。
Q：其他公司的bug赏金项目也面临同样问题吗？
是的，这已经是行业性问题。Linux内核维护者反映部分版本周期内收到约2000条漏洞报告；英特尔已暂停其漏洞赏金项目（最高单个漏洞支付10万美元）。整个行业正在从数量优先
向质量优先
转变，预计未来会推出更严格的验证要求，如提供可工作的概念验证代码或建立基于声誉的提交限制。
小结
Google OSS VRP暂停的背后，是一个正在整个安全研究行业蔓延的结构性矛盾：AI让漏洞报告的生成成本趋近于零，但验证每一份报告仍然需要真人的时间和判断。当提交量暴涨而有效率下降时，审查成本增速远超真实漏洞价值。这次暂停预示着bug赏金行业即将进入一个新的阶段：未来程序可能会要求提供可工作的概念验证代码、设置基于声誉的提交限制，或引入AI辅助的自动化预筛选机制。
对于安全研究人员而言，这意味着漏洞赏金猎人的核心竞争力正在从找到漏洞
扩展到证明漏洞可利用且有实际影响
。
相关阅读
OpenAI安全团队再动荡：System Card负责人离职、三人被指泄密遭解雇
英伟达Open Agent安全平台：BlueField配OpenShell，百家厂商站队
Cloudflare开源Clef决策模型：39ms出结果，让AI Agent路由不再卡壳
延伸阅读
- Google Assistant 谢幕：9 月 29 日起 Gemini 接管安卓语音7 天前
- 微软报告称全球 18.8% 劳动人口用上 AI，南北差距近 1.8 倍7 天前
- MiniMax 开源 Code CLI：76.7% 通过率，把企业级编程 harness 摊在阳光下2 周前
- 千问云上线：150+ 主流模型 API 全面 Skill 化与 CLI 化，为 Agent 重构模型服务平台2 周前