Google 的开源软件漏洞奖励计划（OSS VRP）按下暂停键。官方在计划网站和 X 平台同步公告：自 10 月 1 日起该计划暂停接收提交，预计 2027 年第一季度给出更新。

官方给出的理由很直白：「暂停是由于自动化提交量显著上升，其中绝大多数无效。」据 TechCrunch 报道，Google 工程师和开源维护者已被大量无效或低质量的漏洞报告淹没，人工甄别的成本已经超过计划本身的收益。

这并不是新问题。早在去年，多位网络安全专家就警告过「AI 垃圾报告」对漏洞赏金体系的冲击：大模型可以批量扫描项目、自动生成看似专业的报告，安全团队要花大量时间逐条排除，真正有价值的发现反而被稀释。

在过渡期内，Google 建议研究人员转向其旗下其他漏洞奖励计划继续提交。对开源社区来说，这次暂停是一个信号：各家的漏洞赏金机制都需要重新设计提交门槛，否则将在 AI 生成的噪音里失去筛选真正漏洞的能力。