AI 生成虚假漏洞报告泛滥 谷歌调整 Android 和 Chrome 漏洞奖励规则

近年来，大量用户利用 AI 扫描生成虚假漏洞报告以获取赏金，导致 Node.js、cURL 等项目暂停安全赏金计划。这类报告内容多为无效信息，严重干扰开发者工作。

谷歌近日调整 Android 与 Chrome 漏洞奖励计划（VRP）规则：保留零点击漏洞利用链、浏览器进程完整攻击链等高价值奖励项目，但下调部分奖金并取消部分额外奖励机制。Android 最高奖金仍达 150 万美元（适用于零点击且持久化的漏洞），Chrome 完整攻击链最高可获 25 万美元。

谷歌表示，AI 工具提升了漏洞挖掘效率，因此计划优先处理高风险且不易被 AI 自动发现的漏洞。针对 Linux 内核漏洞，将更关注自身维护的组件，非谷歌维护部分需提供 Android 设备上的利用证明。尽管单漏洞奖金可能减少，但 2026 年整体支出预计仍增长。