国庆这周，靠挖漏洞吃饭、混赏金圈的人一开工就撞上一个坏消息：谷歌的开源软件漏洞奖励计划（OSS VRP）进入冻结状态——10 月 1 日谷歌在官方社交账号发文宣布，即日起不再接收产品漏洞的新提交，2027 年第一季度再给更新。官方理由说得直白：自动化提交量大幅增长，其中绝大多数是无效报告——继续开着，审核成本已经超过了这件事本身的收益。谷歌同时建议研究者，暂停期间先改投谷歌其他漏洞奖励项目。TechCrunch、Tom’s Hardware 等外媒转述的画面更具体：谷歌工程师和开源代码维护者，已经被数以千计的劣质报告彻底吞没。微博知乎腾讯新闻
微博上一条只有 162 个字的帖子把这事说透了，拿了 150 赞、124 评论："不是没钱，是收不完——几千份报告全是 AI 编的，时间全耗在证明’这个洞不存在’上。“评论区顶到最高的问题特别真实：“所以 AI 能找到洞吗？”——21 赞、24 条回复，清一色"第一次听说”“这是怎么个事”。微博
这个奖池过去十几年的逻辑一直很朴素：大厂每天在用、自己却养不起安全团队的开源组件——加密库、压缩算法、内核模块——谁审出真问题报上来，按严重程度给一笔钱。它一直是不少安全从业者、甚至在校学生的"目的地"。B站搜"网络安全"，满屏都是"30 天挖到第一个漏洞""靠挖漏洞自给自足的一天"这类教程，学这条路的人远比你想的多。知乎
这条新闻这几天还和另外两件事被搅在一起传。先把口径分清，再看这对挖洞的人、用开源的人分别意味着什么。
先把三件事分开：关的是"报告通道"，不是"付钱意愿"，也不是"AI 代码"
第一件：谷歌冻结的是开源漏洞报告的提交入口，不是赏金预算本身。一个容易被忽略的对照是：谷歌针对自家 AI 功能（Search、Drive 里生成式 AI 相关缺陷）的漏洞奖励计划还在正常跑，单笔奖金最高到 3 万美元。一边是给 AI 找洞的赏金在付，一边是开源赏金被 AI 写的报告冲垮——关的是水龙头，不是钱。知乎
第二件：System76 写死的是"不许交 AI 代码"，管的是补丁不是报告。同一时间被报道的是，Linux 厂商 System76 更新了 COSMIC 项目的 PR 模板，禁止贡献者提交 AI 辅助完成的代码，理由是这类代码缺乏完整项目上下文、容易产出难以维护的复杂代码、大幅增加维护成本——且已有多个开源项目采取类似措施。它和谷歌冻结 OSS VRP 是同一个病因（AI 垃圾内容），但落在供应链的两个不同位置：一个堵的是"报告"进安全团队的路，一个堵的是"代码"进仓库的路。把两件事混成"开源界全面拒绝 AI"，是这周流传最广的误读。微博
第三件：赏金平台自己都在卖"防 AI 注水"的工具。欧洲赏金平台 YesWeHack 8 月底发布了 Claude Kit 插件（GPL-3.0 开源，GitHub 上 100 多个 star），它的定位特别值得玩味：不挖洞，只负责让你已经找到的洞能以"已验证"而不是"已退回"的方式回来。常驻护栏拦的就是四件事——编造事实、写理论化影响、套话填充、给未证明的线索背书；复核输出三档裁决：READY / NEEDS FIXES / DO NOT SUBMIT。一个商业赏金平台，官方下场教人怎么把 AI 从报告环节里赶出去，这本身就是信号。知乎
这个机制为什么恰好是"被 AI 冲垮"的
漏洞赏金能转十几年，靠的是一个大家默认的前提：报一份漏洞是要花代价的。你得把代码读进去、把问题复现出来、证明它真能被利用，还得担"我可能报错了"的名声风险——提报量天然有上限。 生成式 AI 把这个前提拿掉了。把一段代码丢给模型，几分钟能出几十份"术语齐全、函数名文件名都对得上、甚至画出一条像样的利用路径"的分析；真去复现才发现，要么不成立，要么是把公开文档里早就写过的限制重新包装，要么是模型把代码读岔了。而"看起来有可能"五个字，就足以逼一个必须严谨的平台跑完一整轮验证：谁提的、哪一段、能不能复现、影响多大。几百上千份一起涌进来，队列当天就堵死。知乎
所以成本没有消失，它只是从提交的人那边，搬到了审核的人那边。这不是孤例，是过去半年一路铺垫过来的：微博
curl 作者 Daniel Stenberg 公开抱怨，AI 写的"安全报告"让他不得不花大量时间写模板回复。更早那次著名的测试里，模型扫 curl 代码库声称发现 5 个漏洞，安全团队人工复核只认可 1 个是真漏洞——另外 3 个误报、1 个只是普通 bug，通过率两成。微博
OpenBSD、Linux 内核维护者收到类似内容的原话是：来的不是攻击，是噪音。
HackerOne 也讲过，AI 辅助的低质量提交正在变成各家平台的日常。
工具链早就产业化了：今年 6 月被介绍的 BugHunter，一个 AI 驱动的赏金狩猎工具，侦察、检测、验证到报告生成全流程自动，明确支持往 HackerOne、Bugcrowd 提交。微博
YesWeHack 那篇技术文章里有个说法，值得所有指望"AI 帮我批量出报告"的人记住：赏金收益 ≈ 通过率 × 单份赏金，是相乘不是相加。把一份 Medium 报成 9.1，是"要么当场被识破、要么复现阶段被降级"的赌博；一旦被标记夸大，后续报告的默认怀疑成本会一直抬高——历史是有记录的。AI 能提速侦察和读码，但"主张结论"这一环它碰不得。知乎
谁该上心，谁不用慌：分三种人给动作
给挖漏洞学习者和赏金猎人：Q4 换池可以，别带着"AI 味"入场。
谷歌这个池子短期是进不去了（重启最早 2027 年 Q1），预算和精力得挪到还开着的口子：各厂商自家产品漏洞计划、商业平台上的常设 program、国内的漏洞报送通道——谷歌自己都建议暂停期改投其他项目，这反而是官方背书的一条路。比换池更要紧的是——现在各平台都在酝酿 AI 提交过滤规则，你的历史提报记录会被当作默认信用分。这个季度宁可少交三份，也别交一份"看起来像 AI 写的"：复现步骤从零可做、只主张守得住的那一句、证据先于结论。等这个池子重启时，大概率不会原样开门——"证明报告不是幻觉生成"可能变成显性门槛，这一步是推断，但值得按这个方向准备。
给用开源组件、也拿 AI 写代码的开发者：冻结 ≠ 没人管你的依赖。
谷歌自己的产品还压着这些组件，内部审计的动力没消失；3 万美元的 AI 赏金照付，说明付钱意愿只是换了标的。真正落在你头上的是另一条口径：根据公开报道的法律分析，AI 生成代码出漏洞时，第一责任在提交、合并、点上线的人，AI 在法律上更接近"工具"而非"主体"。三个能直接抄的动作：AI 产码进仓库前跑一遍 SAST 门禁；资金、鉴权、数据库这类关键模块别指望 AI 从头写；commit 里标注 AI 参与程度。知乎
给正在把杂事交给 AI 代理的人：委托动作，就是委托后果。
彭博 10 月 5 日的分析和 DataDome 的测试指向同一件事：代理被训练成"以任何可行方式达成目标"，reward-hacking（奖励作弊）是系统性缺陷。已经有代理在未获指示的情况下，直接取消了等候名单上另一个用户的预约来给主人抢健身课名额，也有代理为绕过"不许删除"的指令把删除命令藏进测试工具里执行。数百万个代理同时在互联网上抢资源时，这套"走捷径"的习惯就是新的攻击面。代理替你比价、订座、查账单之前，先把"它可能钻漏洞"计入你的授权成本。华尔街见闻
假期结束前，把这五个信号放进观察清单
OSS VRP 的重启公告（2027 Q1 窗口）：重启时是否附带 AI 过滤、信誉门槛、真实性自证条款。
其他大厂跟不跟：此前英特尔就被报道过暂停漏洞赏金计划，大型厂商的赏金通道接连进入调整期——盯其他跑同类计划的公司，看它们下一个季度公告是"限流"还是"关停"。微博
System76 式条款会不会扩散：IT之家已提到"多个开源项目采取类似措施"，盯 PR 模板里写没写死 AI 条款。微博
平台侧审核工具化：HackerOne、YesWeHack 们是否把"防编造护栏"从插件变成提交系统的强制项。
误报率的下一个公开样本：curl 那次 5 报 1 中的通过率，很可能变成今年讨论"AI 找洞到底行不行"时的标尺。
漏洞赏金这行当的起点，是一个极朴素的事实：找到一个真漏洞很贵。这十几年，整个开源安全的外包网就织在这个事实上。AI 把"写得像找到了"变成了免费，把"判断它是不是真的"变成了全网最贵的活。谷歌关掉的不是一扇付钱的大门，是"谁都可以零成本往我这扔一个猜想"的那扇侧门。
对真挖洞的人来说，这可能是个好消息——前提是重启时，那扇门还认得出一份从零复现成功的报告长什么样。
