谷歌暫停開源漏洞獎勵計劃，AI 幻覺報告壓垮團隊

谷歌宣佈，自 2026 年 10 月 1 日起，其開源軟體漏洞獎勵計劃 OSS VRP 不再接收產品漏洞提報。IT 之家 2026 年 10 月 4 日報道了這一調整，並指出 2026 年 10 月 1 日之前已提交的產品漏洞不受影響。對於部分可能對谷歌雲產品造成影響的谷歌雲程式碼倉庫，如果涉及產品漏洞，谷歌仍可能通過雲漏洞獎勵計劃 Cloud VRP 接收相關報告。OSS VRP 是谷歌設立的一項專業安全賞金計劃，旨在通過激勵獨立安全研究人員，在谷歌整個開源生態系統中挖掘並負責任地披露安全缺陷。

據 Tom's Hardware 報道，知情人士透露，谷歌工程師與開原始碼維護人員已被數以千計的劣質報告徹底吞沒。這些報告聲稱發現了嚴重漏洞，但深入排查後發現，它們全都是 AI 產生的“幻覺”，根本無效且無法被實際利用。維護團隊不得不將大量精力耗費在驗證這些虛假程式碼上，嚴重擠佔了修復現實高危漏洞的時間。目前此事停在這一步：OSS VRP 已停止接收產品漏洞提報，此前已提交的報告不受影響，谷歌雲相關漏洞則仍可能通過 Cloud VRP 接收。