Google 在大量 AI 生成報告激增後暫停開放原始碼漏洞懸賞計畫

重點

Google 已暫停其開放原始碼軟體漏洞獎勵計畫，理由是自動化、AI 生成的提交數量大幅上升，且大多數被證明為無效。該凍結自 10 月 1 日生效，將持續至預計在 2027 年第 1 季發布更新為止。工程師與維護者表示被包含幻覺或錯誤發現的報告淹沒。建議參與者在公司重新評估收件與驗證流程期間，探索 Google 的其他漏洞懸賞管道。

情緒分析

• 本文整體情緒是混合的：一方面承認 Google 為保護維護者並提升計畫品質所採取的積極作為，另一方面也強調 AI 生成噪音對漏洞通報流程的負面影響。此決定被框架為必要但對依賴該計畫的合法研究者具有干擾性。文內語調傳達了開源社群的謹慎與挫折，同時就 Google 的時程與理由保持事實陳述。
55%

文章內容

Google 已宣布暫時暫停其開放原始碼軟體漏洞獎勵計畫，將停擺歸因於由 AI 工具產生的自動化提交大量增加。該暫停於 10 月 1 日生效，公司表示將在 2027 年第 1 季提供更多資訊。此舉旨在處理工程師與開源維護者所承受的負擔，因他們接獲大量報告，而其中許多是無效或包含幻覺式細節。

公司表示，近期大多數提交並不有效，使負責分類與修復的員工不堪負荷。根據業界媒體報導，研究者與維護者形容收到一波低品質報告，耗費了大量時間與資源。Google 的公告將暫停描述為一項暫時措施，目的是重新評估接收機制、驗證標準與工作流程，以便在提升準確性與效率後恢復計畫。

先前參與該計畫的資安研究者對此反應不一。有些人歡迎 Google 意圖保護維護者免於過度工作並減少對合法漏洞調查的干擾；另一些人則擔心暫停可能會減緩開源元件真實漏洞的發現與揭露。公司敦促受影響的貢獻者在此期間考慮其替代的漏洞懸賞計畫作為通報管道。

自動化、AI 推動的提交趨勢先前已被資安專家標示為漏洞懸賞生態系的成長問題。生成報告的工具可能產出聽來合理但不正確的發現，而這些幻覺使必須逐一驗證每項主張的人類承受過大負擔。這項關鍵見解突顯自動化在放大發現能力的同時，也會產生大量噪音，進而削弱計畫效能。因應這項挑戰可能需要更嚴格的提交過濾器、改進用於分類的自動化工具，或修訂獎勵標準以優先考量高信度的報告。

Google 的暫停突顯了漏洞協調中的更廣泛張力：在利用自動化擴大安全工作範圍的同時，必須防止自動化系統擾亂以人為主導的工作流程。運行獎勵計畫的公司必須在開放性與實際防護之間取得平衡，以確保維護者不會被淹沒。業界正在考慮的解決方案包括更嚴謹的提交範本、更好的預驗證工具，以及對自動化提交者的速率限制或資格認定步驟。

在資安社群等待 Google 下一步更新之際，這一事件提醒我們快速採用 AI 的營運影響。雖然自動化可加速資安研究的某些面向，但若不加以控制，生成式系統的使用可能增加誤報並浪費稀缺的分析人力。此一高調計畫的臨時中止，可能促使其他組織評估自身對低品質自動化提交的防禦。

與此同時，建議合法研究者遵循 Google 的指引，使用替代通報管道，並確保提交包含清楚的證據與可重現步驟。業界很可能持續嘗試技術與政策措施，以在維持漏洞懸賞計畫價值的同時，減輕 AI 生成噪音所帶來的負面影響。

關鍵見解表