Google 於二零二六年十月一日暫停其開源軟件漏洞獎金計劃，官方說明的理由是自動化提交大幅增加，而其中絕大多數並不成立。該計劃原本以獎金鼓勵研究人員找出 Google 開源軟件中的安全漏洞，如今要等到二零二七年第一季才會公布後續安排。這項決定反映出生成式 AI 正在改變漏洞回報生態，也讓開源維護者長期承受的審核負擔浮上檯面。

Google 自二零二六年十月一日起暫停開源軟件漏洞獎金計劃，主因是自動化提交暴增、多數報告無效或含幻覺，預計二零二七年第一季公布後續。

對長期依賴外部安全社群的大型科技公司而言，漏洞獎金計劃一向是性價比極高的防線。外部研究者以自由人力協助發現問題，公司則以獎金回報，雙方各取所需。當提交成本被生成式模型壓到接近零，這套平衡開始鬆動，審核端反而成為新的瓶頸。

Google 的開源抓漏獎金計劃是什麼？

該計劃以獎金鼓勵研究人員回報 Google 開源軟件中的安全漏洞，藉外部社群補足內部測試與修補流程，涵蓋瀏覽器引擎、工具鏈與雲端元件。

這項計劃的全名是 Open Source Software Vulnerability Rewards Program，屬於 Google 既有漏洞獎金體系的延伸。它把範圍從公司自家產品擴大到開源專案，涵蓋瀏覽器引擎、程式語言工具鏈與雲端基礎元件等專案。研究人員主動提交漏洞，經確認後可依嚴重程度取得獎金，而 Google 則取得修補所需的時間與情報。

此設計的核心假設是外部研究者具備動機與能力，能發現內部團隊遺漏的問題。對資源有限的小型專案而言，這類計劃有時是唯一的安全回報管道，因此累積了相當規模的參與社群。

為什麼 Google 要暫停這個計劃？

Google 表示暫停源於自動化提交顯著上升，其中絕大多數並不成立，工程師與維護者被無效或含幻覺的報告淹沒，故自十月一日起暫停並檢討流程。

根據計劃網站的公告，Google 自十月一日起暫停收件，並承諾在二零二七年第一季提供更新。公司在說明中直言，這次暫停是因為自動化提交顯著上升，而且其中絕大多數並不成立。外媒報導進一步指出，審核人員與開源維護者被大量無效或帶有幻覺的報告壓垮，處理成本已經超過計劃帶來的效益。

值得一提的是，這個問題並非突然出現。早在前一年，資安專家就已警告 AI 灌水可能對漏洞獎金制度構成實質風險。Google 此次選擇全面暫停而非局部調整，反映問題的規模已經超出個別流程修補所能承擔的範圍。

AI 生成的漏洞報告為何難以辨識？

生成式模型能低成本產出格式完整、語氣專業的報告，但漏洞位置與重現步驟常出於臆測，審核者必須逐份驗證，辨識成本因此大幅上升。

生成式模型的強項在於模仿格式與語氣。它能產出結構完整、術語正確、排版工整的漏洞報告，甚至引用看似合理的函式名稱與行號。問題在於，這些內容未必對應真實存在的缺陷，位置描述與重現步驟往往出於推測。對審核者而言，外觀合格的報告無法直接淘汰，只能逐份投入時間驗證。

當此類提交以量取勝，審核工作就從「判別是否為真漏洞」退化成「先證明其為假」。這種反轉消耗大量人力，也讓真正有價值的報告淹沒在雜訊之中。更棘手的是，難以判斷提交者究竟是刻意灌水，或只是把未經驗證的模型輸出直接轉貼。

這對開源維護者有什麼影響？

多數開源維護者以義務身分投入，無償審核暴增的報告會排擠修補與開發時間，真正的漏洞可能被延誤，長期也削弱社群對外部回報的信任。

開源維護者多半是義務投入，平日已有修補與開發工作。面對突然增加的報告量，他們被迫在有限時間內分類、驗證與回覆，原本用於修補的工作時間被排擠。最直接的風險是真正的漏洞被延誤處理，因為它可能夾在數十份外觀相似的無效報告之間。

信任的侵蝕則是更長遠的代價。當維護者對外部提交的預期從「可能有料」轉為「多數是雜訊」，他們對社群回報的整體評價會下降。這種心態一旦形成，即使制度日後恢復，優質研究者也可能因為回報體驗變差而減少參與。

企業與研究者可以如何因應？

研究者應以可重現的驗證程式為核心，避免直接提交未經確認的模型輸出；企業則可在內部初篩加入自動化過濾與信譽機制，提高提交門檻以降低雜訊。

對安全研究者而言，關鍵在於把模型當成輔助而非代筆。提交前應確認漏洞確實存在，並附上最小可重現的驗證程式，讓審核者能在數分鐘內判斷真偽。將未經驗證的模型輸出直接送出，短期或許換到曝光，長期卻會損害自身在社群中的信譽。

對企業與平台方而言，可在流程前端加入自動化初篩，例如要求提交附帶可執行範例、檢查報告是否具備可重現步驟，或引入提交者的歷史信譽權重。這些措施無法完全阻止灌水，但能把審核資源集中在較有可能成立的報告上。更根本的方向是調整獎勵結構，讓獎金與可驗證的成果連結，而非與提交數量連結。

出處連結有哪些？

本文資訊整理自 TechCrunch 的報導，以及 Google 開源軟件漏洞獎金計劃的官方公告，事件時間點為二零二六年十月一日。

  • TechCrunch 報導：https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/
  • Google 開源軟件漏洞獎金計劃官方網站（公告欄）

總結：這一事件揭示了什麼？

事件顯示當提交成本趨近於零，獎金制度的瓶頸會從發現漏洞轉移到驗證漏洞；開源安全的下一步，在於讓可重現性而非數量成為回報的核心標準。

Google 暫停開源抓漏獎金計劃，表面上是一次流程調整，實際上點出了生成式 AI 對既有制度的衝擊。當產出一份外觀合格的報告幾乎不需成本，任何以數量為基礎的獎勵機制都會承受壓力。真正的稀缺資源，已經從漏洞情報轉移到可信的驗證與審核能力。

對讀者而言，這也是一個觀察開源生態如何自我調整的窗口。制度能否恢復，取決於提交門檻、信譽機制與獎勵結構能否同步更新。若相關調整落實，外部研究者的角色仍無可取代；若停滯不前，優質報告與雜訊將持續混雜，最終由整個社群承擔成本。