Google 暂停开源漏洞赏金「产品漏洞」类目：AI 自动提交泛滥，最高 7,500 美元奖励清零，Q1 2027 再更新

核心背景与行业痛点

AI 工具让「读一段代码、写一份像模像样的漏洞报告」几乎零成本，赏金平台的分诊压力随之暴涨。Google 在 OSS VRP 规则页 写明：自 2026-10-01 起不再受理开源项目的产品漏洞提交；据 TechCrunch 报道，官方给出的理由是「自动化提交大幅增加，且绝大多数无效」，工程师与维护者被幻觉报告淹没。

架构亮点与底层机制

这次调整只砍一个类目。提交 f8bf23ad8（9 月 30 日，标题 OSS VRP product vuln pause）在规则文件顶部加入暂停声明，并把奖励表中「Product vulnerabilities」整行改成「-」。供应链攻击类目原样保留：能绕过 PR 审批改主分支、攻破构建发布链路、泄露包管理发布凭据等，仍按项目等级付费。逻辑很清楚：机器能批量生成的报告不再付钱，必须真实演示攻击链的才付钱。

权威 Benchmark 与实测跑分对比

这不是模型发布，没有跑分。可核对的硬数字来自规则文件：产品漏洞原奖励为旗舰项目（OT0）$500–$7,500、重要项目（OT1）$101–$3,133.7，现均为「-」；供应链攻击 OT0 为 $3,133.7–$31,337、OT1 为 $1,337–$13,337、OT2 为 $500–$3,133.7。Google 没有公布无效报告的具体数量或比例。

开发者实战落地与开箱指南

1. 安全研究者：10 月 1 日前已提交的产品漏洞不受影响；涉及 Google Cloud 产品的仓库可改投 Cloud VRP，修复补丁可申请 Patch Rewards。
2. 用 AI 挖洞的团队：把可复现 PoC 和完整利用链当作提交门槛，别只交模型生成的描述。
3. 依赖 Google 开源库的团队：到 2027 年 Q1 新方案出来之前，少了赏金驱动的外部审查，应加强自己的依赖审计与 fuzz。