Google 漏洞賞金獵人平台 Bug Hunters 喺官方 X 帳號宣佈，由 10 月 1 日起暫停接收開源軟體漏洞獎勵計畫（Open Source Software Vulnerability Rewards Program，OSS VRP）的產品漏洞通報。官方指，近期湧入大量由 AI 生成嘅自動化提交，絕大多數並非有效漏洞，令工程師同開源維護者要耗費大量時間逐一驗證，已「不堪其擾」。呢項暫停係暫時性措施，Google 承諾喺 2027 年第 1 季前完成機制調整並發布更新。
暫停範圍同替代管道
呢項暫停只針對產品漏洞。10 月 1 日前已提交嘅產品漏洞，同 OSS VRP 嘅軟體供應鏈（Supply Chain）漏洞回報，均持續運作。涉及 Google Cloud 產品嘅開源程式碼庫，研究人員可改經 Cloud VRP 通報；官方亦鼓勵研究人員轉向參與旗下其他 VRP 計畫，或參加 Patch Rewards Program。
呢單唔係頭一回
OSS VRP 係 Google 喺 2022 年推出嘅開源軟體漏洞獎勵計畫，涵蓋 Bazel、Angular、Golang 等專案，初衷係鼓勵獨立研究人員通報 Google 開源生態系嘅程式碼缺陷、邏輯錯誤同設計問題。值得留意，2026 年 3 月 Google 已因 AI 生成漏洞報告暴增而調整過一次規則：提高高優先級專案嘅驗證門檻，並停止對部分較低層級專案嘅產品漏洞提供獎勵或審查；但供應鏈漏洞回報未受影響。
AI 幻覺成行業痾疾
呢單唔止 Google 一家嘅問題。Linux 核心維護者先前已公開表示，AI 驅動嘅漏洞挖掘機制令通報量暴增，已完全無法負荷；Intel 近期亦無預警暫停旗下嘅漏洞獎勵計畫，外界普遍推測呢個決定同 AI 生成無效報告嘅氾濫息息相關。Curl 維護者喺 2026 年 1 月因 AI 漏洞通報氾濫而終止抓蟲獎勵；ProjectDiscovery 喺 2026 年 2 月先推出嘅開源漏洞獎勵專案 OSS Bounty Program，因收到大量 AI 生成嘅低品質通報而喺 9 月下架。甚至連知名論文發布平台 arXiv，都因收到太多 AI 論文，決定將每人每月可提交嘅論文數量限制喺 2 篇以內。
反骨機唔服
大語言模型（LLM）同自動化 AI 掃描工具普及之後，通報門檻同成本大幅降低，本來係好事；但當生成內容嘅速度遠快過人工審查，平台就只會被無效內容淹沒。真正嘅問題唔係「AI 太勁」，而係平台冇能力過濾無效提交，最後只能用「關閘」呢個最直接嘅方法應對。對獨立研究人員嚟講呢係真實損失：佢哋原本可藉呢啲計畫獲得回報、貢獻開源資安，而家個門被關咗。Google 承諾 2027 年第 1 季有更新，到時要睇佢點樣喺「擋 AI 垃圾」同「唔誤傷真人研究人員」之間揾平衡。
反骨機｜深度調教
