Google 暂停开源漏洞赏金计划：AI 生成的无效提交泛滥成灾

Google 近日宣布暂停其开源软件漏洞赏金计划（OSS VRP），原因是 AI 生成的无效漏洞报告数量激增，严重影响了计划的正常运行。这一决定凸显了 AI 生成内容对网络安全行业的冲击。

一分钟速览

• Google 暂停开源漏洞赏金计划，至少持续到明年
• 暂停原因是 AI 生成的无效提交「显著增加」
• 绝大多数 AI 生成的漏洞报告「无效」
• 事件凸显 AI 生成内容对网络安全行业的负面影响

事件详情

Google 的开源软件漏洞赏金计划（OSS VRP）是一个奖励安全研究人员发现和报告开源软件漏洞的项目。参与者可以通过报告真实的安全漏洞获得奖金，这一计划对提升开源软件安全性起到了积极作用。

然而，Google 近日宣布暂停该计划，原因是「AI 提交的数量显著增加，其中绝大多数无效」。随着 AI 工具的普及，越来越多的参与者使用 AI 生成漏洞报告，但这些报告往往缺乏真实的技术依据，给审核团队带来了巨大负担。

AI 生成的「垃圾」安全报告

AI 生成漏洞报告的问题在于「数量大、质量低」。一些参与者使用 AI 工具批量生成看似专业的漏洞报告，但实际上这些报告要么是误报，要么是重复已知问题，要么是完全虚构的「漏洞」。

Google 安全团队表示，审核这些 AI 生成的报告消耗了大量人力和时间，严重影响了对真实漏洞的处理效率。在「垃圾」报告泛滥的情况下，暂停计划成为无奈之举。

对网络安全行业的影响

Google 的决定反映了 AI 生成内容对网络安全行业的深远影响。漏洞赏金计划依赖于安全研究人员的真实发现和报告，而 AI 生成的无效报告正在破坏这一生态系统的信任基础。

这一趋势可能导致更多科技公司收紧漏洞赏金计划的参与条件，甚至要求参与者提供身份验证或技术能力证明。这对于真正的安全研究人员而言，可能意味着参与门槛的提高。

AI 滥用的更广泛问题

Google 暂停漏洞赏金计划的事件，是 AI 滥用问题的一个缩影。随着 AI 生成能力的提升，「AI 垃圾」正在侵蚀各个行业的质量底线——从内容创作到代码生成，再到安全研究。

如何在享受 AI 效率提升的同时，防止 AI 被用于批量生成低质量内容，已成为各行业共同面临的挑战。一些专家建议，平台方需要开发更智能的 AI 内容检测工具，同时建立更严格的参与者信誉体系。

总结

Google 因 AI 生成无效报告泛滥而暂停开源漏洞赏金计划，这一事件为整个科技行业敲响了警钟。AI 技术的普及在带来效率提升的同时，也催生了新的滥用形式。建立有效的 AI 内容治理机制，将是未来各平台必须面对的课题。