谷歌因自动生成的报告激增，冻结了自家开源漏洞赏金计划。curl 早已因同样的原因先行退出

谷歌停止接收针对自家开源代码的新漏洞报告。给出的理由不是预算削减，也不是组织调整，而是送进来的报告里，由机器生成且不成立的太多了。

公告挂在谷歌的 Bug Hunters 网站和其 VRP 账号上："我们暂时不再接收 OSS VRP 的产品漏洞提交。这不影响 OSS VRP 的供应链报告，也不影响任何已提交的报告。"解释只有一句话——暂停是"因为自动提交显著增加，而其中绝大多数并不有效"。2026 年 10 月 1 日之后提交的报告在冻结范围内。谷歌表示将在 2027 年第一季度进一步说明该计划的改造方案。

实际关闭的是哪一部分

Open Source Software Vulnerability Rewards Program 于 2022 年 8 月启动，覆盖谷歌自家的开源项目——Go、Angular、Protocol Buffers 等等——对有效发现支付 100 美元至 31,337 美元。关闭的只是其中一部分。

这条分界线是整份公告里信息量最大的部分。一份产品漏洞报告本质上是一个主张：这段代码里有这样一个缺陷，大致因为这些原因而重要。语言模型随时可以生成这样的东西，英文通顺，附上看起来合理的文件路径和一个语气笃定的严重性评级，而负责分流的人不读代码就无法驳回它。供应链报告则往往依托于某个可供他人核验的实物：仓库里留下的凭据、配置错误的构建、解析到本不该去的位置的依赖项。谷歌留下的是主张自带证据的那一类，关掉的是不自带证据的那一类。

curl 先走到了这一步

这并不是谷歌发现了什么新东西。2026 年 1 月 22 日，curl 项目宣布终止其 HackerOne 赏金计划，1 月 31 日前接收最后一批提交，2 月 1 日起转入自有流程。谈到原因时，Daniel Stenberg 比谷歌直白得多。

关掉赏金的主要目的，是消除人们向我们提交垃圾和未经认真研究的报告的动机。

而谈到一个志愿项目所处的位置时，他说：

我们只是一个活跃维护者寥寥的小型单一开源项目。要改变这些人和他们的垃圾生成机器的运作方式，不在我们能力范围之内。为了自身的存续和心智完好，我们必须有所动作。

Django 和 Node.js 也各自加设了护栏。这个趋势九个月前就已经清楚了。本周变化的是它波及到了谁。

赏金机制赖以成立的那种不对称

漏洞赏金之所以行得通，靠的是一种过去对防守方有利的不对等。找到一个真实漏洞需要技术和数天时间；读一份报告只要一名工程师一小时。为难的那一半付钱，吸收容易的那一半，账就算得过来。生成式模型并没有让前一半变容易，而是让生产"看起来像"前一半的东西几乎零成本，于是这个计划要为自己从未定价过的提交量承担分流成本。

便宜的办法谷歌已经试过。今年早些时候，它发布了 OSS VRP 的规则更新，明确说明目的是"过滤掉低质量报告，聚焦于真实世界的影响"。收紧规则不够用，冻结是进一步的手段。这个先后顺序比冻结本身更值得注意，因为谷歌是最有能力吸收这个问题的一方。2025 年它向 700 多名研究者支付了 1,710 万美元，2010 年以来累计超过 8,160 万美元，并且有专职人员负责此事。如果收紧后的规则加上一支带薪的分流团队都不够用，那么下班后读报告的志愿维护者，除了 curl 走过的那条路之外已无别的办法。

修补要付的代价

谷歌在 2027 年初公布的方案，几乎必然会用比文字更难伪造的东西来限制提交：可复现的材料、一次崩溃、一个能跑的测试用例，或是在平台上积累起来的信誉。这个方向是对的，而且有代价。那扇敞开的正门，曾是一个没有任何履历的无名研究者凭一个好发现被认真对待的通道。提高证据门槛，对他们而言门槛也一并提高了；而把队列灌满的那一方，并不会因此退却。

该关注的不是谷歌这个计划会不会回来，而是回来的那个版本是否仍然对陌生人开放。

来源： Google halts open-source bug bounty program amid AI spam surge — BleepingComputer · AI slop submissions force Google to freeze its open-source bug bounty — Help Net Security · Streamlining Google's OSS VRP: Key Rule Updates — Google Bug Hunters · Curl ending bug bounty program after flood of AI slop reports — BleepingComputer · curl Shuts Down Bug Bounty Program After Flood of AI Slop Reports — Socket