Google 因 AI 无效报告暂停 OSS VRP 提交
Start here
Google 自 2026 年 10 月 1 日起停止通过开源软件漏洞奖励计划（OSS VRP）接收新的产品漏洞报告，原因是自动化提交大幅增加且绝大多数无效，主要由 AI 生成，令审核工程师和开源维护者不堪重负。该计划覆盖 Google 旗下 GitHub 组织公开仓库的最新版本及仓库配置，涵盖 Go、Angular、Protocol Buffers 等项目。Google 在 X 帖子中说明暂停原因，并计划在 2027 年第一季度公布后续调整。规则页面已移除旗舰项目 500 至 7500 美元、重要项目 101 至 3133.7 美元的产品漏洞奖励金额。供应链投毒类报告仍被接收，涉及 Google Cloud 产品的漏洞可改投 Cloud VRP，10 月 1 日前提交的报告不受影响。Google 未给出 AI 生成报告的占比。
Generated by AI from reports · Updated 3 days ago
Latest developments
- · 3 reportsGoogle 因 AI 提交激增暂停开源漏洞赏金计划
- Date not given · 1 reportsGoogle Open Source Software Vulnerability Reward Program Rul
Progress timeline
- The Hacker NewsGoogle 因无效自动化报告激增暂停开源产品漏洞奖励
Google 自 10 月 1 日起停止通过开源软件漏洞奖励计划（OSS VRP）接收 Go、Angular、Protocol Buffers 等项目的产品漏洞报告，并在 X 上称原因是自动化提交大幅增加且绝大多数无效。供应链投毒类报告仍被接收，10 月 1 日前提交的报告不受影响。规则页面同步移除了旗舰项目 500 至 7500 美元、重要项目 101 至 3133.7 美元的产品漏洞奖励金额，Google 承诺在 2027 年第一季度更新该部分规则。研究者可改走 Cloud VRP、Patch Rewards 或其他奖励计划提交，Go 项目则要求通过其安全团队邮箱报告。
- Help Net Security AIAI 生成的低质量漏洞报告激增，Google 暂停 OSS VRP 漏洞赏金计划
Google 已停止通过其开源软件漏洞赏金计划（OSS VRP）接收新的产品漏洞报告，原因是大量无效的 AI 生成提交淹没了审核工程师和开源维护者。Google 在官方 X 帖子中表示，此次暂停源于自动化提交的显著增加，其中绝大多数无效。OSS VRP 是 Google 为其发布的开源软件（包括 Go、Angular 和 Protocol Buffers 等项目）设立的漏洞赏金计划，2022 年启动，向私下报告代码、仓库设置和供应链组件缺陷的安全研究者支付报酬。10 月 1 日之前提交的报告不受影响，部分影响 Cloud 产品的 Google Cloud 仓库仍可通过 Cloud VRP 接收报告。Google 表示将继续调整 OSS VRP 并承诺在 2027 年第一季度更新，期间研究者可将发现提交至其他 VRP 计划或 Patch Rewards Program。
- TechCrunch AIGoogle 暂停 OSS VRP 产品漏洞提交，称自动化无效报告激增
TechCrunch 报道，Google 自 10 月 1 日起暂停 OSS VRP 的产品漏洞提交通道，理由是自动化提交显著增加且绝大多数无效，并计划在 2027 年第一季度提供更新。据报道，工程师和开源维护者面临 AI 生成无效报告带来的处理负担。二手摘要说明供应链类别和暂停前提交的报告不受影响；这不是关闭 Google 的全部漏洞奖励项目。Google 未给出 AI 生成报告的占比。
- 网页IT之家· Discussion大量 AI“幻觉”报告压垮维护团队，谷歌暂停部分开源漏洞奖励计划(opens the original post in a new tab)
- 网页cnBeta· DiscussionAI生成“漏洞报告洪流”压垮审核团队 Google暂停部分开源漏洞赏金计划(opens the original post in a new tab)
- Date not givenGoogle Bug HuntersGoogle 开源软件漏洞奖励计划规则更新：2026 年 10 月起停止接收产品漏洞
Google 开源软件漏洞奖励计划（OSS VRP）自 2026 年 10 月 1 日起不再接收产品漏洞报告，涉及 Google Cloud 产品的漏洞可改投 Cloud VRP，计划将于 2027 年第一季度公布后续调整。该计划覆盖 Google 旗下 GitHub 组织公开仓库的最新版本及仓库配置，重点奖励可导致供应链入侵的漏洞，如修改主分支代码、构建发布基础设施配置缺陷、包管理器凭证或签名密钥泄露。第三方依赖漏洞需先在上游修复满 30 天并证明可在 Google OSS 中触发，第三方服务或平台自身的漏洞不在范围内。
Related discussion
- Older than 72 hours · Not included in the 72-hour figures
- 网页TechRadarGoogle benches open source bug bounty program following ‘significant rise’ in AI submissions(opens the original post in a new tab)
- 网页IT之家大量 AI“幻觉”报告压垮维护团队，谷歌暂停部分开源漏洞奖励计划(opens the original post in a new tab)
- 网页cnBetaAI生成“漏洞报告洪流”压垮审核团队 Google暂停部分开源漏洞赏金计划(opens the original post in a new tab)
- 网页TechmemeGoogle freezes product flaw submissions to its OSS Vulnerability Reward Program over an influx of invalid AI-driven reports, plans an update by Q1 2027 (Etiido Uko/Tom's Hardware)(opens the original post in a new tab)
Attention trend
New sources per day
- Oct 4New3 sources (3 outlets,0 accounts)
- Oct 5New3 sources (3 outlets,0 accounts)
- Oct 6New1 sources (1 outlets,0 accounts)
- Oct 7New1 sources (1 outlets,0 accounts)
- Oct 8New0 sources (0 outlets,0 accounts)
- Oct 9New0 sources (0 outlets,0 accounts)
- Oct 10New0 sources (0 outlets,0 accounts)
- Oct 11New0 sources (0 outlets,0 accounts)
- Oct 12New0 sources (0 outlets,0 accounts)