谷歌从 10 月 1 日起暂停接收开源软件漏洞奖励计划（OSS VRP）中的产品漏洞报告，理由是 AI 生成的无效报告太多，工程师和开源维护者已经被拖垮。谷歌漏洞赏金团队在官方账号上发布了这条通知，称是“暂时”停收，并表示会在 2027 年第一季度前公布这个项目的后续安排。
OSS VRP 覆盖谷歌名下的公开代码仓库，包括 Golang、Angular、Bazel 等一批被大量第三方依赖的项目。这次停掉的是其中最大的一块：代码缺陷、逻辑错误、设计漏洞这类“产品漏洞”。
还剩下什么
这不是整个项目关门。按谷歌的说明，几类提交不受影响：
- 10 月 1 日之前已经提交的报告，照常处理；
- OSS VRP 里的供应链报告继续收，也就是构建流水线被攻破、软件包被篡改这一类；
- 影响谷歌云产品的部分仓库，漏洞可以改走 Cloud VRP；
- 谷歌的其他赏金项目和补丁奖励计划不变。
谷歌给出的原因写得很直白。研究者用大模型和自动扫描工具，可以“批量产出外观精致的报告”，可其中大量内容是模型幻觉，或者描述的问题根本没有安全影响。工程师的时间被花在证伪上，没花在修真漏洞上。谷歌没有公布这一轮无效报告的具体数量和占比。
今年第三次动手
这次暂停是谷歌今年第三次针对 AI 报告调整赏金规则，连起来看，处理方式一次比一次重。
3 月，谷歌公开表达过对低质量 AI 提交的担忧，当时的做法是在规则里加要求、提醒提交者。5 月，Chrome 和 Android 两个赏金项目改版，明确偏向带**可复现概念验证（PoC）**的报告，没有 PoC 的提交权重被压低。OSS VRP 自己也在年内重写过规则想筛掉低质量报告，从结果看没起作用。到了 10 月，干脆停收。
谷歌不是第一个扛不住的。curl 项目今年早些时候已经结束了自己的漏洞赏金，维护者此前多次公开吐槽 AI 生成的假漏洞报告；面向开源生态的 Internet Bug Bounty 也因为提交量暴涨暂停过新提交；有报道提到，Linux 网络子系统的维护者同样承认 AI 驱动的补丁和报告大量涌入。
讽刺的一面在于，谷歌自己也在用 AI 找漏洞。按公开报道，谷歌的 AI 漏洞挖掘代理去年报告过 20 个真实漏洞。同一类工具，用在有人复核的流程里能出成果，被大批量地拿去刷赏金，就变成了维护者的负担。
对提交者和维护者各意味着什么
对靠赏金吃饭的独立研究者，最直接的影响是一条收入渠道暂时断了，供应链方向和 Cloud VRP 成了剩下的出口。谷歌在通知里也引导大家去这些方向找影响。
对开源维护者，谷歌这个量级的项目都选择停收，说明单靠改规则、加门槛已经很难把 AI 报告挡在门外。接下来各家赏金平台大概率会在“要不要强制 PoC”“要不要对提交者做信誉分级”上做文章，谷歌承诺的 2027 年一季度更新，会是一个观察点：它到底是重开、限量重开，还是把产品漏洞并进别的项目。
参考来源：Google Bug Hunters 官方通知、Google OSS VRP 规则页、Hardware Busters、CocoLoop、PBX Science；暂停范围与保留通道以谷歌官方说明为准，赏金金额区间按项目规则页口径。