谷歌暂停开源漏洞奖励计划的产品漏洞提报，AI 幻觉报告压垮维护团队

谷歌暂停开源漏洞奖励计划的产品漏洞提报，AI 幻觉报告压垮维护团队 这条更新来自 ithome.com，发布时间为 2026-10-04，Aioga 保留原文入口以便核验。

摘要：谷歌宣布自 2026 年 10 月 1 日起，开源软件漏洞奖励计划（OSS VRP）不再接收产品漏洞提报，此前已提交的漏洞不受影响。据 Tom's Hardware 报道，知情人士称数千份声称发现严重漏洞的报告实为 AI 幻觉、无法实际利用，挤占了修复真实高危漏洞的时间；谷歌云相关仓库仍可通过 Cloud VRP 提报，谷歌计划于 2027 年第一季度公布 OSS VRP 重组进展。

背景：OSS VRP旨在通过奖励独立安全研究人员，发现并负责任地披露谷歌开源生态中的安全缺陷。据报道，数千份声称发现严重漏洞的报告被核查为AI生成且无法实际利用。

Aioga 观察：Aioga 判断：此次调整显示，漏洞奖励计划需要在开放提报与验证成本之间重新平衡。材料将报告质量问题与维护压力联系起来，但未说明新机制的具体设计。

影响与后续：可能影响：开源项目产品漏洞的提报渠道将发生变化，相关报告不应默认转向其他计划；涉及谷歌云代码仓库的情况仍可能适用Cloud VRP，具体范围需要进一步确认。 后续观察：关注谷歌对OSS VRP重组机制的说明，以及2027年第一季度公布的进展；同时需要留意Cloud VRP对相关谷歌云代码仓库漏洞的接收规则。

IT之家：https://www.ithome.com/ 10 月 4 日消息，谷歌宣布，自 2026 年 10 月 1 日起，开源软件漏洞奖励计划（OSS VRP）将不再接收产品漏洞提报。本次规则调整不影响 2026 年 10 月 1 日之前已提交的产品漏洞。

不过，针对部分可能对谷歌云（Google Cloud）产品造成影响的谷歌云代码仓库，如果涉及产品漏洞，谷歌仍可能通过云漏洞奖励计划（Cloud VRP）接收相关报告。

OSS VRP 是谷歌设立的一项专业安全赏金计划，旨在通过激励独立安全研究人员，在谷歌整个开源生态系统中挖掘并负责任地披露安全缺陷。

据 Tom's Hardware 报道，知情人士透露， 谷歌工程师与开源代码维护人员已被数以千计的劣质报告彻底吞没 。这些报告声称发现了严重漏洞，但深入排查后发现，它们全都是 AI 产生的“幻觉”，根本无效且无法被实际利用。

维护团队不得不将大量精力耗费在验证这些虚假代码上，严重挤占了修复现实中高危漏洞的时间。这正是导致谷歌最终叫停该计划的直接原因。

IT之家获悉，谷歌官方表示，将持续对 OSS VRP 的相关机制进行重组与优化，并计划于 2027 年第一季度公布最新进展。