谷歌OSS VRP停收产品漏洞：AI虚假报告泛滥，2026年10月起执行

谷歌已经敲定，从 2026 年 10 月 1 日开始，开源软件漏洞奖励计划（OSS VRP）不再接收产品漏洞提报。在这之前已经提交的产品漏洞，不受这次规则调整的影响。但也不是所有渠道都关了——要是某个谷歌云（Google Cloud）代码仓库牵扯到产品漏洞，且可能波及谷歌云产品，谷歌依然可能通过云漏洞奖励计划（Cloud VRP）把报告收进来。

OSS VRP 本身就是谷歌搞的一个专业安全赏金项目，思路是拿钱激励独立安全研究人员，在谷歌的整个开源生态里找安全缺陷，然后走负责任的披露流程。

据 Tom's Hardware 报道，有知情人士称，谷歌工程师和开源代码维护人员已经被成千上万的劣质报告淹没。这些报告都声称挖到了严重漏洞，可真去深挖，发现全是 AI 生成的“幻觉”，既无效，也没法被实际利用。

维护团队只能把大把精力花在核对这类假代码上，真正该修的高危漏洞反而被挤掉了时间。这也是谷歌最后决定叫停该计划的直接原因。

谷歌官方表示，会继续对 OSS VRP 的相关机制做重组和优化，最新进展计划在 2027 年第一季度公布。