Google赏金计划被AI报告冲停：免费生成压垮人工审核，GEO跟着换了赛道

10 月 1 日，Google 在官方 X 账号发了一则简短公告：开源软件漏洞奖励计划（OSS VRP）暂停接受产品漏洞类提交，恢复时间未定，计划 2027 年第一季度给出机制调整的进展。原因写得直白——自动化提交大幅增加，其中绝大多数无效。这批报告的主体是 AI：大模型加上自动化漏洞挖掘脚本，把「写一份看起来专业的漏洞报告」的成本打到了零，而每一份报告仍然需要安全工程师逐条人工验证。生成端免费，验证端昂贵，这个入口被压垮只是时间问题。

暂停了什么、没暂停什么

先把事实边界划清楚。这次暂停只覆盖 OSS VRP 的产品漏洞提交：10 月 1 日之前提交的报告照常处理，供应链类报告继续接收，部分影响 Google Cloud 产品的仓库漏洞仍可走独立的 Cloud VRP 渠道。也就是说 Google 没有关掉整个奖励体系，而是关掉了被 AI 冲得最狠的那条管道。其实 Google 在今年 3 月已经加过一轮规则——部分报告类别要求附上可复现步骤或安全补丁——事实证明不够：规则挡得住低质量的格式，挡不住生成数量。

第三次曝光：Linux与Intel都中过招

这不是孤例，而是一类结构问题的第三次曝光。此前 Linux 内核维护者公开表示被 AI 挖掘脚本生成的虚假 CVE 彻底淹没，单个版本录得的漏洞数冲上 2000 条的历史纪录，个别项目为此放弃维护旧网络驱动；Intel 也已冻结其单洞最高奖励 10 万美元的赏金计划，官方没有说明原因，业内普遍归因于同款 AI 垃圾瓶颈。三家巨头、同一批症状：凡是一个人必须读的提交入口，都在被 AI 生成物灌满。

GEO视角：搜索引擎是下一个被压垮的入口

拿这个视角看 GEO（生成式引擎优化），会发现 AI 搜索引擎就是下一个被压垮的入口——而且压力已经到了。当品牌方批量用 AI 生成内容、批量做页面改写，模型侧的检索与排序层承担的正是安全工程师的那份工作：判断哪份内容是真的、哪份是幻觉。区别在于搜索引擎不提交暂停公告，它直接用引用权重投票：可验证的第一手数据、署名作者、可复现的实测结果，对应赏金报告里的「可复现步骤与补丁」——证据密度取代内容数量，成为被引用的先决条件。今年几份 GEO 研究反复指向同一结论：堆技巧、铺量的收益正在收敛甚至转负。

通用解法：把人工筛选换成证据筛选

Google 的应对路径基本预告了各行业的通用解法：不是禁止 AI 参与，而是把「人工筛选」前移成「证据筛选」——要求提交者先自己完成验证，只让带证据的内容进入人的视野。落到内容侧就是三件事：一，发布前把结论钉在可核查的事实上（数据来源、测试环境、时间点）；二，结构化表达，结论前置，让机器和人都能低成本完成「验证」这一步；三，接受更低的发布频率——一次可复现的实测，比一百篇 AI 转写稿更接近被引用的位置。

写在最后

跟进这类 AI 行业与搜索生态动态，可以看我们对 https://www.ai30.com/website/techcrunch-com”>TechCrunch 和 https://www.ai30.com/website/the-decoder-com”>The Decoder 的收录页。AI 没有改变「入口稀缺」这条老规则，只是换了一批会被挤垮的入口。

（文 / AI30媒体部 ｜ 2026年10月5日）