Google暂停了开源漏洞奖励计划的一类新报告。
官方给出的原因是，自动化提交明显增加，而且绝大多数无效。
很多标题立刻把它概括成“Google被AI垃圾淹没”，但这件事真正暴露的，不只是AI会制造垃圾，而是互联网很多奖励机制，都没准备好面对接近零成本的批量生产。
先把事实边界说清楚从2026年10月1日起，Google开源软件漏洞奖励计划，也就是OSS VRP，暂停接收新的“产品漏洞”报告。Google表示会继续调整这一部分规则，并计划在2027年第一季度给出更新。
这不是整个漏洞奖励计划永久关停。10月1日前已经提交的报告不受影响，供应链相关渠道、补丁奖励等其他安排仍然存在。
还有一个容易被忽略的细节：Google官方原话说的是“automated submissions”，也就是自动化提交，并没有在这句话里直接把责任全部归到生成式AI头上。媒体和行业之所以谈到AI，是因为过去一段时间，开源维护者确实持续遭遇AI辅助生成的低质量漏洞报告。
所以更准确的说法是，自动化提交激增是官方确认的直接原因，AI是重要背景，但不能把两者简单画等号。
当提交成本归零，审核就成了最贵的环节漏洞赏金原本建立在一个朴素逻辑上：研究者花时间找到问题，企业花时间验证问题，确认有效后支付奖励。
AI工具出现后，提交一份看起来格式完整、术语齐全、甚至附带代码片段的报告，成本大幅下降。可报告写得像真的，不代表漏洞真的存在。审核人员必须搭环境、跑代码、查版本、看影响范围，才能确认它是不是幻觉。
于是就出现了一个很荒诞的局面：生成一份报告可能只要几分钟，证明这份报告没有价值，却可能要工程师花几十分钟甚至更久。
机器把生产成本打了下来，却把验证成本推给了另一端。真正有价值的漏洞线索，也可能被淹没在大量“看起来很专业”的文本里。
这不只是安全行业的问题招聘平台会收到批量生成的简历，客服系统会收到机器制造的申诉，内容平台会收到大规模拼接稿件，开源社区会收到表面完整却无法运行的代码补丁。
这些系统过去常用“填写得越完整，越值得优先处理”作为筛选信号。可当AI能轻松模仿完整格式，外表就不再代表质量。
以后平台真正稀缺的，不是内容，而是可验证性。
漏洞报告可以要求最小复现案例、指定版本、运行日志和环境证明；投稿可以要求来源链和事实依据；企业内部的AI报告也不能只看文字是否流畅，而要检查原始数据、过程记录和责任人。
一句话，AI时代不能只奖励“提交”，还要奖励“被证明有效的提交”。
别把问题粗暴变成“禁用AI”AI辅助安全研究并不天然低质。它可以帮助研究者读代码、整理证据、构建测试，也可能发现人工容易忽略的组合问题。
真正需要限制的是没有验证、批量投递、把审核成本转嫁给别人的做法。如果只按“是否使用AI”一刀切，既难执行，也会误伤认真研究的人。
更合理的规则应该提高证据门槛，而不是简单提高写作门槛。报告再长、术语再多，都不如一个可复现步骤有价值。
Google这次暂停，可以看成一次被动止损，也是一记提醒：AI把“像样的答案”变得廉价之后，所有依靠人工审核的制度，都要重新设计入口。
你还见过哪些平台，因为提交门槛越来越低，最后被低质量内容拖垮？
#谷歌 #网络安全 #AI垃圾 #开源软件