10 月 1 日,谷歌正式叫停了运行多年的开源软件漏洞奖励计划(OSS VRP),理由只有一句话:自动化提交的数量出现了「显著上升」(a significant rise),其中绝大多数根本不是有效报告。这不是临时维护,而是 Google 在 X 和 bughunters.google.com 同步挂出的暂停通知——承诺在 2027 年第一季度给出更新,期间研究人员被引导去尝试 Google 的其它漏洞奖励计划。\n\n## 不是「AI 滥用」抽象叙事,是工时被啃光的现实\n\nOSS VRP 是 Google 设立来激励安全研究人员在公司整个开源生态中挖掘并负责任披露漏洞的项目,产品漏洞提报和 Google Cloud 仓库的相关报告都通过它走。和大多数 bug bounty 不同,OSS VRP 处理的是 Google 主导或重度依赖的开源代码,一旦真出了 CVE,影响面会被整个开源社区一起承担。所以 Google 这次选择「暂停」而不是「改造规则」,本身就是一个不寻常的姿态。\n\n触发暂停的不是抽象的「AI 滥用」叙事,而是具体到人和工时的问题。Tom's Hardware 援引知情人士的说法:Google 工程师和开源项目维护者已经被数以千计的低质量报告彻底压垮——这些报告声称发现了严重漏洞,但排查后全是 AI 生成的「幻觉」,既不能复现也无法被实际利用。维护者不得不把大量精力花在「验证一份看似严谨但完全是模型编出来的报告」上,真正高危漏洞的修复时间被严重挤压。整个行业存在同样的问题,Google 不是孤例,只是把开关按下得最决。\n\n## 一年前已经有预警,Google 用工程预算把曲线验出来\n\n把时间线往上拨一年,TechCrunch 在 2025 年 7 月就报道过类似现象——安全研究员社区已经在讨论 AI slop(AI 垃圾)给 bug bounty 生态带来的系统性风险。Google 那时没有动作,这次叫停其实是在替整个行业承认:悬赏模型在生成式 AI 普及后,出现了「边际报告收益<边际审核成本」的拐点。当提交成本被 AI 压到几乎为零,审核成本就被指数式放大,这条曲线 Google 用工程预算验证了一遍。\n\n## 边界划在哪:Cloud VRP 留着,OSS VRP 收窄\n\n更值得注意的是 Cloud VRP 留下的豁口。Google 同时声明:针对部分可能影响 Google Cloud 产品的代码仓库,如果涉及产品漏洞,仍可通过 Cloud VRP 接收相关报告。换句话说,Google 没有完全关上门,只是把 OSS VRP 这条原本对所有开源生态开放的入口收窄——「Google 直接暴露在开源生态里的攻击面」这一档被选择性放下,商业云相关的部分保留。这条边界划在哪里、以后会不会再扩或再缩,会是接下来安全社区盯着的关键变量。\n\n## 所以呢\n\n对开发者和白帽来说,这件事给出了一个很难忽视的提示:当生成式 AI 把「提交」门槛降到了零,真正稀缺的就变成了「谁能验证」。 Google 用停止接收新报告来重新校准这条曲线,但成本最终还是会落到极少数还在手工跑模糊测试、读 CVE、写 PoC 的人头上。等到下一轮 AI agent 能闭环跑通「找漏洞+验证漏洞+写合规报告」时,这一轮暂停也许只是更大规模重置前的护栏。