2026-10-04
谷歌宣布，自2026年10月1日起，开源软件漏洞奖励计划（OSS VRP）将暂停接收产品漏洞报告。这一调整不影响2026年10月1日之前已提交的产品漏洞。
不过，对于可能影响谷歌云产品的谷歌云代码仓库，如果涉及产品漏洞，谷歌仍可能通过云漏洞奖励计划（Cloud VRP）接收相关报告。
OSS VRP是谷歌设立的专业安全赏金计划，旨在激励独立安全研究人员在谷歌开源生态系统中挖掘并负责任地披露安全缺陷。
据Tom's Hardware报道，知情人士透露，谷歌工程师与开源代码维护人员已被数千份劣质报告淹没。这些报告声称发现严重漏洞，但深入排查后发现，它们全是AI产生的“幻觉”，根本无效且无法被实际利用。
维护团队不得不耗费大量精力验证这些虚假代码，严重挤占了修复真实高危漏洞的时间。这是导致谷歌最终叫停该计划的直接原因。IT之家获悉，谷歌官方表示，将利用中欧下载安装持续对OSS VRP的相关机制进行重组与优化，并计划于2027年第一季度公布最新进展。
