谷歌暂停开源漏洞奖励计划产品漏洞提报，AI 虚假报告泛滥是主因

谷歌宣布，自 2026 年 10 月 1 日起，开源软件漏洞奖励计划（OSS VRP）将不再接收产品漏洞提报。期限前已提交的漏洞不受影响；涉及谷歌云代码仓库的相关报告，仍可通过云漏洞奖励计划提交。

OSS VRP 是谷歌设立的安全赏金计划，旨在激励独立安全研究人员在其开源生态中发现并负责任地披露安全缺陷。

据媒体报道，谷歌工程师与开源维护人员已被数千份劣质报告淹没。这些报告声称发现严重漏洞，核实后却均为 AI“幻觉”生成的无效内容，无法被实际利用。验证虚假报告占用大量资源，挤占了修复真实高危漏洞的时间，成为叫停该计划的直接原因。

谷歌表示将持续重组优化相关机制，并计划于 2027 年第一季度公布最新进展。