10月1日，谷歌悄然调整其开源软件漏洞奖励计划（OSS VRP），停止接收新产品漏洞报告。官方在公告中直言，此举旨在应对自动化提交量的显著增加，其中绝大多数为无效报告。
此次调整未伴随长篇复盘，仅通过简短通知指引研究人员转向其他活跃项目，并承诺将于2027年第一季度更新相关政策。这一看似低调的举措，实则标志着支撑互联网基础设施的开源众包安全模式迎来重大转折。
AI“幻觉”淹没维护团队
随着大语言模型的普及，工程师和维护人员正被数千份报告淹没。这些报告多包含由AI生成的“幻觉”式缺陷描述，或标记无实际安全影响的问题。尽管生成成本急剧下降，但每份报告仍需人工审核、复现和分类，验证成本并未降低。
据媒体报道，这股洪流迫使团队将大量时间耗费在驳回无效报告上，而非修复真实漏洞。这与网络安全专家此前的警告相符：AI生成的垃圾信息已成为漏洞赏金计划的严重风险。如今，这一风险已在谷歌身上成为现实。
值得注意的是，此次暂停仅针对聚焦代码缺陷、逻辑错误或设计问题的产品漏洞。涉及构建管道入侵和软件包篡改的供应链报告仍正常运行，10月1日前提交的报告也将继续处理。部分Google Cloud相关仓库仍可通过独立渠道上报。这些例外表明，谷歌试图将对高价值信号的影响降至最低。
行业性困境与经济学崩溃
谷歌并非孤例。Curl项目因AI生成报告消耗大量审核时间，已于2026年初结束其漏洞赏金计划；英特尔也曾暂停一项高额漏洞悬赏；Linux内核维护者同样表示被虚假CVE申请淹没。分析显示，在Curl项目中，约20%的提交由AI生成，仅5%被证实为真实存在，审核人员有时需在单个案例上耗费数小时。
Curl创始人Daniel Stenberg指出，关闭计划旨在“消除提交垃圾和非深入研究报告的动机”。当生成一份精美报告仅需几分钟而非几天时，开放漏洞赏金背后的经济假设便随之崩溃。
过去，制作高质量漏洞报告所需的技能、时间和验证努力构成了天然屏障，确保了提交量的可控与质量。大语言模型消除了这一屏障，脚本可自动扫描、生成看似合理的概念验证代码。这不仅是噪音，更构成对安全团队的“拒绝服务攻击”，导致真正漏洞被埋没，维护人员倦怠。
内部成功与外部混乱的反差
与此同时，谷歌在内部AI安全工具上投入巨资。9月披露的基于Gemini模型的自主代理PageBreak，能在谷歌Web应用中搜寻并验证漏洞，发现了数百个跨站脚本（XSS）漏洞且误报率接近零。这种内部成功与外部未经过滤的AI提交引发的混乱形成鲜明对比。
行业观察人士预计，未来漏洞提交将面临更严格要求，如提供复现工件、合并补丁或通过自动验证步骤。部分项目可能转向仅限邀请模式，或专注于受AI干扰较小的供应链完整性领域。目前，研究人员被鼓励参与谷歌其他漏洞赏金计划或Patch Rewards Program。
谷歌的暂停为行业争取了喘息时间，但也揭示了现代软件安全的深层矛盾：AI既加速了漏洞发现，也大幅降低了信噪比。未来的改革是恢复对众包挖掘的信任，还是转向更受控的流程，将重塑关键代码的防御方式。