Google 冻结开源赏金

Tom’s Hardware、TechCrunch 10 月 4 日报道：Google 的开源软件漏洞赏金计划（OSS VRP）自 10 月 1 日起暂停接收产品漏洞提交。官方口径：「此次暂停源于自动化提交的显著增加，其中绝大多数无效。」据 Tom’s Hardware，工程师与开源维护者已被夹带幻觉内容的无效报告淹没；谷歌承诺 2027 年一季度给出更新方案，期间引导研究者转向其其他赏金项目。TechCrunch 指出，这在 2025 年中就有预警——当时 AI slop 已经在拖垮各家的赏金计划。

验证成本的外包

漏洞赏金的经济学建立在「报告者多、有效率高」的信任上：企业付钱买经过验证的发现，报告者赚赏金与声誉。AI 把方程式的第一项打爆了——生成一份格式工整、术语正确的漏洞报告只要几分钟，验证它却仍要工程师通读代码、复现路径。当无效报告的边际成本趋近于零，筛选成本全部落在维护者头上，而维护者恰恰是开源世界里最稀缺的资源。Google 的冻结等于官方承认：这条管道的信任层已经失效，与其继续耗散维护者的注意力，不如关门整修。

谷歌之外：维护者的处境

开源维护者承受的不只是 Google 一家的压力。Tom’s Hardware 采访的维护者描述的共同场景是：一天数十份报告，每份都格式完整、引用正确的 CVE 术语，但漏洞本身是模型幻觉出来的——验证一份需要一小时，写拒绝回复又要十分钟。有维护者干脆停止回复，赏金社区的信任随之下滑。当诚实报告者与垃圾报告者拿到同样的格式模板，声誉系统也失去了区分度——这是比单一平台停摆更深的一层损害。

不是孤例，是模式

这一幕两个月内三次上演，玩家各不相同：Zig 干脆禁止一切 AI 贡献——维护者评审负担是明示理由；arXiv 对作者实行每月 2 篇限流——投稿量激增挤爆评审；现在 Google 冻结赏金提交——报告洪峰压垮验证。共同点是：当 AI 把「提交」的成本打到零，所有依赖人工审核的开放系统都要重新设计准入。这已经超出任何单一平台的治理失误范畴——开放系统在生成成本归零时代需要结构性适配，而且它不会只发生在安全领域，任何「提交门槛低于审核成本」的系统都在同一条曲线上。

处置方式的模板价值

值得肯定的是 Google 的处置顺序：暂停（立即止血）、说明原因（坦承 AI 占比）、给出时间表（2027 Q1）、提供替代通道（其他赏金项目）。对运营任何开放提交系统的团队——赏金、工单、投稿、众包数据——这是一个可复用的模板：与其默默提高门槛或无限积压，不如显式关闸、公开规则、给社区确定的预期。

编辑判断：准入设计回归

可预期的后续是「验证分层」：自动预筛（用 AI 给 AI 报告打分）、信誉门槛（新账号慢通道）、「已验证发现」本身变成可交易的凭证。赏金不会死——真实漏洞的稀缺性反而在上升——但「人人可提交、有报必审」的时代正在退场。下一次类似事件几乎必然出现在另一个开放系统上；谁先把准入设计好，谁就省下一次关闸。