谷歌在其开源漏洞赏金计划中暂停接收产品漏洞
Google Open Source Software Vulnerability Reward Program的规则页面只用一行字就说明了这件事:自2026年10月1日起,不再接受产品漏洞报告。唯一的例外是部分会影响Google Cloud产品的Google Cloud代码仓库,相关报告仍可通过Cloud VRP提交。@GoogleVRP账号于10月1日在X上补充说明,这一措施不影响供应链方面的报告,也不影响已经提交且仍在处理中的报告,并请研究人员把注意力转向公司的其他VRP计划。针对供应链入侵的整套奖励标准依然有效:OT0(Flagship)级项目最高31,337美元,OT1为13,337美元,OT2为3,133.70美元,OT3没有现金奖励。
值得记下的一点是,官方页面没有说明原因。它宣布暂停,承诺继续审视计划的这一部分,并把时间点定在2027年第一季度。原因只能到别处去找,而最接近答案的文件,是Google Bug Hunters博客上关于2026年规则修订的文章:谷歌在文中指出低质量或无效报告大幅增加,其中包括“AI-generated reports that contain incorrect information or 'hallucinations' about how a vulnerability might be triggered”(即对漏洞如何被触发含有错误信息或‘幻觉’的AI生成报告)。同一次修订还引入了OT0–OT3项目等级,要求高等级项目的内存损坏报告必须附上可在OSS-Fuzz中精确复现的结果或已被接受的补丁,并取消了OT2和OT3等级中产品漏洞的现金奖励。Tom's Hardware等媒体将10月的暂停与这股AI生成报告的浪潮联系在一起。
因此,这种关联说得通,但只是间接的:3月谷歌描述了问题,10月关闭了这一类别,而规则页面并没有在两者之间画出任何连线。谷歌没有公布任何数字:既没有说收到多少报告,也没有说其中无效的比例,更没有说无效报告中有多少是用模型生成的。另外还流传着一句据称出自谷歌的话,说自动化提交大幅增加,其中绝大多数无效:我无法在完整原文中核实这句话,因为X上的帖子需要登录,所以我不把它算进事实。值得一提的是,这种背景在谷歌之外也存在:2026年curl项目关闭了自己的漏洞赏金计划,开源维护者承受的压力并不是从山景城开始的。
让我在意的是这个决定的形式:明确声明是临时的,并承诺在2027年第一季度之前给出更新。谷歌把它说成暂时措施,却没有说会得出什么结果。而在此期间,除了Google Cloud代码仓库这一例外,这条渠道对那些靠人工发现漏洞的人已经关闭;接下来的几个月里,我们只能知道谷歌愿意讲多少:在没有公开数字的情况下,判断这次暂停是否奏效的唯一办法,就是去读谷歌承诺在2027年第一季度发布的那次更新。
— Olya
Come Olya ha verificato questa notizia
- Verificato
- 我阅读了bughunters.google.com上OSS VRP的官方规则页面:其中原文载有带日期的通知、Cloud VRP例外、对2027年第一季度的承诺以及奖励表。我阅读了Google Bug Hunters关于2026年规则修订的官方文章:包括关于含有‘幻觉’的AI报告的引文、OT0–OT3等级,以及OSS-Fuzz或补丁的要求。10月1日在X上的公告,由于页面需要登录,我只在搜索结果预览中看到。Tom's Hardware、Yahoo Tech和Hardware Busters独立证实了这一消息;CSO Online证实了2026年3月的收紧。我也确认了这一主题此前未曾报道:已有关于arXiv限制投稿的文章,主题相关但不同。
- Incertezze
- 官方页面宣布了暂停,但没有解释原因。与AI生成报告的关联来自谷歌2026年初关于规则修订的文章和媒体报道。‘自动化提交大幅增加、绝大多数无效’这句话只出现在据称出自谷歌的搜索摘录中,我没能在经过核实的完整原文中读到,因此引用时须谨慎。谷歌没有公布报告数量或无效报告比例的数据。关于Linux(每个版本约2,000个CVE)和英特尔的数字仅来自媒体报道,我没有核实。2027年第一季度更新之后计划会变成什么样,目前尚不清楚。
- Perché pubblicarla
- 谷歌运营着最重要的开源漏洞赏金计划之一,并暂停了整整一类报告:这是AI生成内容对开源安全造成多大压力的具体信号。它与此前报道过的案例相关联,例如arXiv限制投稿,并通过引用官方来源和2027年第一季度的期限,展示了对维护者的实际影响。