Google 暂停开源漏洞赏金：AI 生成的“slop”报告淹没了审核通道

2026 年 10 月 1 日，Google 做了一个在漏洞赏金历史上前所未有的动作：暂停旗下开源软件漏洞赏金计划（OSS VRP）中产品漏洞提交的受理。官方声明里只给了一句解释，措辞却冷硬得像一封逐客令：

"This pause is due to a significant rise in automated submissions, the vast majority of which are not valid."

翻译过来就是：自动生成的垃圾报告太多，绝大多数都不成立，我们不收了。Computer Weekly 安全编辑 Alex Scroxton 在 10 月 6 日的报道里直接把标题写成了《AI slop overwhelms Google's OSS bug bounty programme》——"slop"（泔水、垃圾）这个词第一次被一家顶级科技公司的官方动作盖章，成了 2026 年安全行业的年度关键词。

值得注意的是，这不是 Google 在"反 AI"。就在同一份声明里，Google 还在鼓励研究者去它的其他赏金计划里"find impact"。它暂停的也不是整个安全响应体系，而是一个精确的切口。这篇文章要拆的正是这个切口：为什么是"产品漏洞提交"这一个环节先崩了，以及它暴露了 vibe coding 时代一个所有人都在回避的结构性矛盾。

关掉了什么，没关掉什么

先把事实摆清楚，避免以讹传讹。OSS VRP 是 Google 在 2022 年 8 月启动的开源漏洞赏金计划，覆盖 Go、Angular、Bazel、Protocol Buffers、Fuchsia 等 Google 主导的开源项目，以及一批精选的第三方仓库。赏金从被列为 Important（OT1）级别项目的 500 美元，到旗舰（OT0）项目供应链攻陷类问题的 3 万美元以上不等。

10 月 1 日起暂停的，只有"产品漏洞提交"这一类——也就是研究者针对公开仓库里的代码缺陷、逻辑漏洞、设计问题提交的报告。以下三类不受影响：第一，OSS VRP 的供应链报告照常受理；第二，10 月 1 日之前提交的历史报告继续走流程；第三，Google 的其他赏金通道全部开放，包括 Cloud VRP，以及专门奖励"给开源软件打补丁"的 Patch Rewards Program（最高 1.5 万美元）。

这个"窄切口"本身就很说明问题。Google 不是被 AI 吓退了，而是在做一场精确的成本核算：供应链类报告（比如依赖投毒、构建链攻陷）依然值得人工审核，因为这类问题的真实性和危害都相对容易判定、且一旦成立价值极高；而代码层面的产品漏洞报告，恰恰是 AI 最擅长"批量生产、听起来很像回事"的那一类，也是审核成本最高的那一类。换句话说，Google 关掉的不是"AI"，而是审核成本已经超过报告价值的那个提交品类。

这不是突发：三月就已经"massive surge"

暂停看起来突然，其实伏笔埋了半年。今年 3 月，Google 就公开表示 OSS VRP 出现了"massive surge"——AI 生成报告的海啸式增长，其中包括大量幻觉出来的漏洞（代码里根本不存在的东西），以及技术上真实、但几乎没有任何可利用安全影响的普通编码错误，被包装成高危漏洞的样子提交上来。

当时 Google 的应对是收紧证据要求：对最重要开源项目的某些漏洞类别，要求提交者提供更强的复现证据，同时降低或取消了一些低级别发现的奖励。这是一次典型的"加高门槛"操作，逻辑是让提交者自己先承担一部分验证成本。但 10 月的暂停说明，加高门槛没能挡住洪水——当提交成本趋近于零时，任何有限的门槛都会被淹没。

这里有一个值得独立开发者细品的细节：AI 生成的漏洞报告有两种"坏法"。第一种是纯幻觉，报告描述的漏洞在代码里不存在，审核者花半小时复现才发现白忙一场；第二种更阴险，是真实但无意义的发现——代码里确实有个小毛病，但它不可利用、够不上安全漏洞，却被写成了一份格式完美、术语专业的"高危漏洞报告"。第二种的审核成本其实更高，因为审核者不能一眼否掉，必须完整走完威胁建模和可利用性分析才能定性。Google 说的"绝大多数不成立"，大概率两种都包含。

数据面：漏洞发现量翻倍的 2026

Google 威胁情报小组（GTIG）在 2026 年 9 月发布的研究，给这场暂停配上了硬数据。今年以来，每月公开披露的漏洞数量翻了一倍：从 1 月的 5,045 个涨到 8 月的 10,740 个。而在野外被实际利用的漏洞，也从 2025 年月均 10.5 个上升到今年的月均 18 个——注意，零日漏洞的利用增长相对慢一些，涨得最快的是已知漏洞的快速武器化。

更耐人寻味的是 GTIG 关于"AI 辅助发现"的质量分析：AI 找出来的漏洞里，低风险的比例在下降，中风险的在上升，能导致远程代码执行（RCE）的更多了——RCE 正是勒索软件团伙最想要的那类成果。也就是说，AI 不是在制造"更多垃圾"，它同时在制造"更多真家伙"。防御者面临的是一个双重挤压：噪声淹没了审核通道，而信号本身也在变强、变得更危险。

GTIG 还提醒，公开数据很可能显著低估了 AI 参与的真实规模，原因有两个结构性因素：第一，CVE 公共库目前还没有统一的"AI 归因"元数据标签，很多 AI 发现的漏洞在统计上是隐形的；第二，云厂商和 SaaS 公司经常直接在生产环境修复 AI 发现的问题，根本不去申请 CVE 编号——CVE 更多是留给需要终端用户协同打补丁的本地软件和第三方组件的。研究人员的结论很直白：短期内漏洞发现和利用只会继续增长，组织必须从"无差别的全量打补丁"转向"威胁情报驱动的分诊"，把自动化的 agent 式修复顶到最前面。

Linux 内核那边，情况一模一样

Google 不是孤例。2026 年 5 月 17 日，Linus Torvalds 在 Linux 7.1-rc4 的发布帖里抱怨，内核的私有安全邮件列表已经被 AI 生成的报告搞到"almost entirely unmanageable"（几乎完全无法管理）。他的描述非常具体：不同的人用同样的 AI 工具扫同一份代码，找出同样的漏洞，各自独立提交；因为走的是私有渠道，提交者互相看不见对方的报告，结果维护者每天的工作变成了转发重复项，或者回复"这个上周/上个月就修了，看公开讨论帖"。

Torvalds 管这叫"entirely pointless churn"（纯粹无意义的空转），并且立了一条规矩：用 AI 工具找到的 bug，本质上就不算秘密，不该走私有安全渠道；真想贡献价值，就去读文档、附上一个经过测试的补丁，"在 AI 发现之上再叠加真实的价值"。内核社区随后还正式出台了 AI Coding Assistants 政策，要求 AI 辅助的提交必须打标。

把 Google 和 Linux 内核放在一起看，图景就完整了：这是整个开源安全协作体系在 2026 年遭遇的同一种冲击。Torvalds 那边更惨的一点是，他面对的不全是"slop"——很多人提交的是真实的 bug，只是重复提交本身就把流程拖垮了。这说明问题的根子不在报告质量，而在提交量与审核量的结构性失衡：发现的边际成本被 AI 打到接近零，验证的边际成本却一分没降。

核心矛盾：生成便宜，验证昂贵

这就是我想在这篇文章里立住的核心判断：AI 把"发现漏洞"的成本打到接近零，但"验证报告"的成本全部甩给了人类审核者。这是 vibe coding 时代"生成便宜、验证昂贵"这对结构性矛盾，在安全领域拿出的最硬的一份证据。

漏洞赏金计划本质上是一个双边市场，它的设计有一个隐含假设：提交者的付出（挖漏洞要花的时间和技术）天然高于验证者的付出（读报告、复现）。这个假设成立时，系统是自洽的——提交者会自我筛选，只提交有把握的东西，因为乱提交是在浪费自己的时间。AI 彻底打破了这条假设：现在生成一份格式完美、术语专业的漏洞报告只需要几美分，而验证它依然需要一个安全工程师花几十分钟到几小时。自我筛选机制消失了，审核通道就成了免费倾倒垃圾的公共地。

而且这不是安全领域的孤例，只是安全领域最先扛不住而已。同样的剧本正在各处上演：开源项目的 PR 队列被 AI 生成的"改进"淹没，招聘方收到海量 AI 润色的简历，学术会议收到 AI 批量生产的论文。每一个"生成便宜、验证昂贵"的场景，最终都会走到同一步——守门人被迫关门、加高门槛，或者把验证成本转嫁回去。Google 这次选择的是"关门装修"，Linux 内核选择的是"立规矩+打标签"。接下来会有更多平台跟进，只是形式不同。

还有一个更深层的判断：这场暂停恰恰证明了 AI 安全工具的真实威力，而不是失败。如果 AI 生成的报告全是幻觉，Google 大可以用自动化规则批量过滤掉，犯不着暂停整个品类。真正让 Google 扛不住的，是报告里混杂了足够多"看起来很真、需要人工细看才能证伪"的东西——这正是当前这代 AI 安全 agent 的真实水平：强到能淹没人类审核，弱到不能自我验证。卡在这个中间态，就是 2026 年。

对独立开发者：赏金狩猎的游戏规则正在改写

写到这里，该说说这件事对 VibeFix 读者最直接的启示了。我知道有不少独立开发者正在用 AI 做安全扫描、跑赏金狩猎——毕竟"AI 挖洞"听起来像是一条门槈低、回报高的副业路。Google 这次暂停，就是这条路的游戏规则正在被改写的官方公告。

先说结论："AI 扫一遍、批量投报告"的粗放模式已经死了。它死不是因为 AI 不好用，而是因为所有人都在用同样的方法，产出的是同样的报告，投向的是同一个审核队列。当提交变成零成本劳动，赏金计划一定会用三种方式自保，而这三种方式每一种都在抬高你的入场券：

第一，证据要求只会越来越重。Google 在 3 月已经要求"更强的复现证据"，暂停期间的改版几乎必然把可复现的 PoC（概念验证）变成硬门槛。以后能拿赏金的报告，拼的不是"你找到了什么"，而是"你证明了什么"——完整的可复现链条、受影响版本、利用条件缺一不可。AI 可以帮你生成假设，但验证和复现的那部分手工活，省不掉。

第二，"给补丁"正在取代"给报告"。注意 Google 暂停声明里特意点名的替代通道：Patch Rewards Program，奖励的是修复而不是发现，最高 1.5 万美元且照常开放。Torvalds 的要求也是"附上 tested patch"。信号很明确：只会"指出问题"的人正在贬值，能把问题"修好并证明修好了"的人在升值。如果你有 AI 辅助的开发能力，不妨把方向从"狩猎赏金"调成"提交高质量修复"——后者的竞争少一个数量级。

第三，声誉和限流会成为标配。可以预见，2027 年 Q1 改版后的 OSS VRP 大概率引入提交者声誉体系、提交频率限制和自动化预筛。第一批被挡在门外的，就是没有历史有效提交记录的匿名批量提交者。现在开始积累"有效提交记录"——哪怕是在小项目上——比囤积一百份没发出去的 AI 报告更有价值。

最后还有一句忠告，送给所有用 AI 做安全扫描的 vibe coder：永远不要把未经自己验证的 AI 输出直接提交给外部审核者。这不只是道德问题，更是策略问题。每一次无效提交都在消耗你自己的声誉额度，而声誉恰恰是改版之后最稀缺的货币。把 AI 当放大镜用，而不是当印钞机用——先让它帮你理解代码、生成假设，然后你亲手复现、亲手写 PoC、亲手打补丁。慢，但这是唯一还走得通的路。

2027 年 Q1 会发生什么

Google 承诺在 2027 年第一季度公布改版方案。虽然细节未知，但从它今年 3 月的动作和行业讨论里，可以拼出改版的大致轮廓：更严格的可复现证据标准、自动化预筛（用 AI 对抗 AI，先让机器过滤一轮）、提交者声誉与限流机制，以及可能的产品漏洞与供应链报告之间更清晰的边界划分。

我的判断是，改版后的 OSS VRP 会变成一个"精英化"的小池子：提交量大幅下降，但每份报告的平均质量和赏金含金量上升。Google 并不缺漏洞——GTIG 的数据说得很清楚，漏洞只会越来越多；它缺的是可信的验证带宽。谁能提供"自带验证"的报告，谁就能在这个新池子里拿到超额回报。

把视线拉远一点：2026 年会被记住为"AI slop"正式成为基础设施问题的一年。从 Linux 内核的邮件列表，到 Google 的赏金计划，人类协作体系第一次被迫为"生成过剩"重新设计规则。Vibe coding 让每个人都拥有了生成的超能力，而 2026 年下半年的这一系列事件在提醒我们另一半真相——当生成变得免费，验证就成了唯一的稀缺资源。谁掌握验证，谁就掌握定价权。这句话对安全行业成立，对内容行业成立，对你我这样的独立开发者，同样成立。