因大量 AI 錯誤回報湧入，Google 暫停開源軟體漏洞賞金計畫

Google 宣布暫停其開源軟體漏洞賞金計畫（bug bounty program），並將此決定歸因於大量由人工智慧自動生成的低品質漏洞回報。

開源軟體漏洞獎勵計畫（Open Source Software Vulnerability Rewards Program）已於 10 月 1 日正式暫停。該計畫旨在獎勵於 Google 開源專案中找出漏洞的資安研究人員，目前將持續停擺，以便該公司重新評估這項計畫。Google 在其官網以及 X 上宣布，預計將於 2027 年第一季提供最新進展。

難以招架自動化生成的「AI 幻覺」

Google 證實，如潮水般湧入的自動化回報迫使其做出這項決定，並指出絕大多數收到的回報皆無實質價值。

該公司表示：「本次暫停是因為自動化回報數量大幅增加，且其中絕大多數都是無效的。」

根據 Tom's Hardware 的報導，Google 工程師與開源專案維護人員在審查這些無效通報時承擔了龐大的行政負擔，其中許多回報更充斥著生成式 AI 工具常見的捏造細節或幻覺（hallucinations）。

資安計畫面臨日益嚴峻的挑戰

此事件凸顯了整體資安領域面臨的更大難題。業界專家先前就曾提出警告，指出「AI 垃圾內容」（AI slop）的威脅正在削弱群眾外包資安計畫的成效。隨著自動化工具讓人能夠輕而易舉地生成並提交數百份看似合理的漏洞報告，負責分流審核的真人團隊正面臨大量積壓、不準確或未經驗證的漏洞通報。

與此同時，Google 表示，若研究人員欲回報漏洞，應轉向參與該公司其他仍在運作的漏洞賞金計畫。