Google 暂停开源漏洞赏金的「产品漏洞」提交通道：自动化投稿激增且多无效
Google 开源软件漏洞赏金计划（OSS VRP）自 10 月 1 日起停止接收「产品漏洞」类提交。官方账号的公告把范围与理由都写清楚了：不影响 OSS VRP 供应链类报告，也不影响已提交未结的报告；研究者被建议改投 Google 其他 VRP 项目或 Patch Rewards Program。理由一句话——自动化提交显著增加，而其中绝大多数不是有效漏洞；给出的时间表是 2027 年第一季度前更新这一部分规则。Tom's Hardware 两天后的报道补了一句现场感：维护者被大量包含幻觉细节的报告淹没。
这条与同一天 arXiv 用额度而不是标准来分配审核能力，是同一件事的两面：当「产出一份看起来像真的提交」的成本被 AI 压到接近零，稀缺的东西就从「发现者」变成了「审核者」。付费找漏洞本来靠奖金换人力，如今奖金换来的是洪水，平台能选的短期手段不多——不是加人手，而是把某一类提交整段暂停。现实影响有两面：真正会报漏洞的人这一季度少了一个入口，而省下来的是维护者的时间。
原文链接：Google Bug Hunters
核验记录
一手为 Google Bug Hunters 账号 @googlevrp 的公开发布（本机不能直读 X，经 bird.makeup 镜像读到原文，镜像标注时间 2026-10-01 16:00 UTC），原文写明「暂时不再接收 OSS VRP 产品漏洞提交」「不影响供应链报告与未结报告」「原因：自动化提交显著增加、绝大多数无效」「承诺 2027 年 Q1 给出更新」；Tom's Hardware 2026-10-03 报道（datePublished 2026-10-03T12:00:00Z）为二次来源，其正文付费墙未读完；OSS VRP 规则页本机只回 JS 壳（3.8KB），未读到已更新条款文字。配图取自 Tom's Hardware，裸请求与带站内 Referer 各一次均 200 / 247,439 字节 JPEG。
← 上一篇Google 上线 Guided Vision：Gemini Live 用摄像头给盲人实时讲环境，明说不是导航工具下一篇 →OpenAI 解雇三名安全研究员：被指把敏感信息给了外部 AI 安全组织