自2026年10月1日起，Google暂停了其开源软件漏洞奖励计划（OSS VRP）的产品漏洞提交。该公司将暂停归因于“自动提交数量的显著增加，其中绝大多数无效”，并承诺在2027年第一季度提供更新——但这仅是更新的承诺，并不保证该计划会重新开放。
其范围比完全关闭要窄。暂停涵盖产品漏洞提交——即Google公共仓库中的代码缺陷、逻辑错误和设计漏洞。2026年10月1日之前提交的报告将继续按照先前规则处理，OSS VRP供应链报告不受影响。Google还表示，部分Google Cloud仓库可能仍会通过Cloud VRP接受产品漏洞报告。
在此期间，Google引导研究人员转向其他活跃渠道：Cloud VRP、AI VRP和补丁奖励计划（Patch Rewards Program），后者针对对开源软件的高影响力修复提供最高1.5万美元的奖励。
据报道，根本原因是人工分诊在海量提交下崩溃。据Tom's Hardware报道，Google工程师和开源维护者被数千份撰写低劣的报告淹没，这些报告声称发现了漏洞，但完全无效或无法利用的幻觉。本应用于修复真正关键漏洞的时间，被花费在手动验证那些最终被证明描述并不存在的漏洞的代码上。
据行业报道，Google的计划是本周期中收缩规模的最具影响力的最大计划，但它不是第一个。在维护者Daniel Stenberg表示AI生成的报告到达速度超过了项目的分诊能力后，curl项目于2026年1月31日终止了其漏洞赏金。curl报告的确认漏洞率从大约六分之一（约15-16%）下降到二十分之一或三十分之一。该计划在其生命周期内共确认了87个漏洞，并支付了超过10万美元的赏金。
GitHub于2026年7月27日重组了其漏洞赏金计划，理由是队列中充斥着“低质量和AI生成的报告”，从基于范围的奖励转变为固定奖励，并限制新研究人员的提交。Intel暂停了一个每个漏洞支付高达10万美元的漏洞赏金计划；该公司并未正式将AI生成的报告列为原因，但外部专家对此深表怀疑。Linux内核维护者形容自己被虚假的AI生成报告“完全淹没”，他们结束了一些旧网络驱动的支持，而不是继续在无效报告上花费时间。
同年也产出了机器辅助发现历史上最强劲的结果。HackerOne的第九份年度报告显示，有效的AI相关漏洞报告同比增长了210%，Anthropic表示其Mythos Preview模型发现了高严重性漏洞，“包括在每个主要操作系统和网络浏览器中都有一些”。这两种趋势都有数据支持，它们指向同一个结构性问题：生成一份看似合理的漏洞报告已变得几乎免费，而证明其真实性仍然成本高昂。
目前仍不清楚暂停是否会解决问题，还是仅仅将负担转移给其他计划。观察人士指出，结果取决于未来的提交机制是否会增加可信度门槛、概念证明要求或押金模式——而且这一暂停将分诊成本重新转嫁给Google和其他计划，而不是改变根本的激励机制。
已确认：OSS VRP产品漏洞暂停自2026年10月1日开始；先前的产品报告和所有供应链报告不受影响；研究人员被引导至Cloud VRP、AI VRP和补丁奖励计划。未知：Google收到了多少份AI生成报告，其中无效报告占多大比例，以及消耗了多少工程时间——Google仅在定性上描述了该问题，未公布具体数据。待观察：Google承诺在2027年第一季度进行的计划更新，这可能澄清OSS VRP是否会恢复，以及以何种条件恢复。