谷歌暂停开源漏洞奖励计划，AI 幻觉报告压垮团队

谷歌宣布，自 2026 年 10 月 1 日起，其开源软件漏洞奖励计划 OSS VRP 不再接收产品漏洞提报。IT 之家 2026 年 10 月 4 日报道了这一调整，并指出 2026 年 10 月 1 日之前已提交的产品漏洞不受影响。对于部分可能对谷歌云产品造成影响的谷歌云代码仓库，如果涉及产品漏洞，谷歌仍可能通过云漏洞奖励计划 Cloud VRP 接收相关报告。OSS VRP 是谷歌设立的一项专业安全赏金计划，旨在通过激励独立安全研究人员，在谷歌整个开源生态系统中挖掘并负责任地披露安全缺陷。

据 Tom's Hardware 报道，知情人士透露，谷歌工程师与开源代码维护人员已被数以千计的劣质报告彻底吞没。这些报告声称发现了严重漏洞，但深入排查后发现，它们全都是 AI 产生的“幻觉”，根本无效且无法被实际利用。维护团队不得不将大量精力耗费在验证这些虚假代码上，严重挤占了修复现实高危漏洞的时间。目前此事停在这一步：OSS VRP 已停止接收产品漏洞提报，此前已提交的报告不受影响，谷歌云相关漏洞则仍可能通过 Cloud VRP 接收。