Google anunció que a partir del 1 de octubre de 2026, el Programa de Recompensas por
Vulnerabilidades de Software de Código Abierto (OSS VRP) ya no aceptará informes de vulnerabilidades de productos, aunque los informes enviados previamente no se verán afectados. Según Tom's Hardware, personas informadas afirman que los miles de informes de supuestas vulnerabilidades críticas en realidad eran alucinaciones de IA, no explotables, lo que consumía tiempo que debería destinarse a corregir vulnerabilidades reales de alto riesgo; los repositorios relacionados con Google Cloud todavía pueden enviar informes a través de Cloud VRP. Google planea publicar avances en la reorganización de OSS VRP en el primer trimestre de 2027.
IT之家：https://www.ithome.com/ 10 月 4 日消息，谷歌宣布，自 2026 年 10 月 1 日起，开源软件漏洞奖励计划（OSS VRP）将不再接收产品漏洞提报。本次规则调整不影响 2026 年 10 月 1 日之前已提交的产品漏洞。
不过，针对部分可能对谷歌云（Google Cloud）产品造成影响的谷歌云代码仓库，如果涉及产品漏洞，谷歌仍可能通过云漏洞奖励计划（Cloud VRP）接收相关报告。
OSS VRP 是谷歌设立的一项专业安全赏金计划，旨在通过激励独立安全研究人员，在谷歌整个开源生态系统中挖掘并负责任地披露安全缺陷。
据 Tom's Hardware 报道，知情人士透露， 谷歌工程师与开源代码维护人员已被数以千计的劣质报告彻底吞没 。这些报告声称发现了严重漏洞，但深入排查后发现，它们全都是 AI 产生的“幻觉”，根本无效且无法被实际利用。
维护团队不得不将大量精力耗费在验证这些虚假代码上，严重挤占了修复现实中高危漏洞的时间。这正是导致谷歌最终叫停该计划的直接原因。
IT之家获悉，谷歌官方表示，将持续对 OSS VRP 的相关机制进行重组与优化，并计划于 2027 年第一季度公布最新进展。
La fuente proporciona título, resumen, atribución y enlace original. Aioga no republica el artículo completo.
Scan to open this article