谷歌宣布，自2026年10月1日起，其开源软件漏洞奖励计划（OSS VRP）将不再接收产品漏洞提报。该计划此前通过激励独立安全研究人员，在谷歌开源生态系统中挖掘并负责任地披露安全缺陷。
谷歌方面表示，本次规则调整不影响2026年10月1日之前已提交的产品漏洞。不过，针对部分可能对谷歌云产品造成影响的谷歌云代码仓库，如果涉及产品漏洞，谷歌仍可能通过云漏洞奖励计划（Cloud VRP）接收相关报告。
据Tom’s Hardware报道，知情人士透露，谷歌工程师与开源代码维护人员已被数以千计的劣质报告吞没。这些报告声称发现了严重漏洞，但深入排查后发现，它们均为AI产生的“幻觉”，根本无效且无法被实际利用。维护团队不得不将大量精力耗费在验证这些虚假代码上，严重挤占了修复现实中高危漏洞的时间。这一情况被认为是谷歌叫停该计划的直接原因。
OSS VRP的调整反映出AI生成内容对开源安全生态的冲击。随着大模型能力普及，自动化生成看似专业但实际无效的漏洞报告成本大幅降低，安全团队面临的信噪比问题日益突出。谷歌官方表示，将持续对OSS VRP的相关机制进行重组与优化，并计划于2027年第一季度公布最新进展。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
