Google因AI提交激增冻结开源漏洞赏金计划

TechCrunch报道，Google已经冻结其开源漏洞赏金（bug bounty）计划，直接原因是AI生成的漏洞提交出现了"显著上升"。这一动向被认为与AI工具大量自动生成安全报告、进而淹没人工审核队列有关。

漏洞赏金是开源与商业软件生态里常见的一种安全机制：厂商公开悬赏，鼓励安全研究人员在漏洞被恶意利用前上报问题，并按严重程度给予奖励。计划一旦被AI批量生成的低质量提交挤占，审核与分流的成本就会迅速上升，真正高价值的报告也可能被淹没。

TechCrunch的摘要用"AI slop"（AI垃圾内容）来形容这一现象，认为这类自动生成的内容正在让漏洞赏金项目不堪重负。报道标题把问题明确指向"AI提交激增"，说明压力并非来自正常的安全研究增长，而是来自自动化内容的规模效应。

Google选择冻结而非直接关闭，说明其更可能是需要时间重新设计审核与分流流程。对安全团队而言，这一信号值得警惕：生成式AI降低了提交漏洞报告的门槛，既能帮助发现真实问题，也会带来大量重复、无效或看似合理的"幻觉"报告，稀释真正有价值的安全情报。

从更广的行业视角看，开源项目的安全维护本就依赖志愿研究者与厂商的有限投入。当AI把提交量放大到人工难以消化的程度，赏金计划的经济性与可信度都会被重新审视，这可能是多家厂商会共同面对的问题。

接下来要看Google是否会在调整后恢复该计划、以何种方式过滤AI生成提交，以及其他厂商是否会跟进采取类似措施。漏洞赏金的"AI化"考验，正在成为整个安全行业需要共同回答的问题。