谷歌已暂时停止其开源软件漏洞奖励计划（OSS VRP）的产品漏洞提交，自2026年10月1日起生效。该公司表示，暂停是因为“自动化提交量大幅增加，其中绝大多数无效”，而多家媒体的报道将这一激增归因于人工智能（AI）生成的报告。
谷歌于10月1日在X（原Twitter）上的一篇帖子以及其Bug Hunters网站上宣布了这一变化。该公司将此次暂停描述为临时性的，并承诺将在2027年第一季度提供有关该计划重组的更新，同时明确表示这并非承诺在特定日期恢复提交。
此次暂停并不涵盖所有类别。供应链妥协报告在OSS VRP下仍然符合条件，且在10月1日之前提交的产品漏洞报告将继续处理。谷歌还引导研究人员转向其他活跃渠道，包括针对某些谷歌云仓库的云漏洞奖励计划，以及补丁奖励计划（该计划为安全补丁提供100至15,000美元的奖励）。
此举是在此前收紧规则之后进行的。2026年3月，在观察到AI生成提交量显著增加后，谷歌开始对某些类别要求更强有力的证据，包括通过OSS-Fuzz或合并补丁获得的可复现结果，特别是针对前两个项目层级的内存损坏报告。较低优先级的层级失去了奖励资格以及部分产品漏洞报告的积分。最新的暂停走得更远，在谷歌重新设计该计划的这一部分时，完全停止了新的产品漏洞提交。
谷歌自身继续在安全工作中使用AI。2026年7月，该公司表示，其Chrome安全团队正在利用AI在更大规模上改进漏洞发现、分类和修补。
这一决定反映了整个行业的更广泛压力。2026年8月，苹果对研究人员可提交的漏洞报告数量设定了限制。2026年3月，HackerOne停止了其互联网漏洞赏金计划的新提交。2026年9月左右，英特尔暂停了通过其Intigriti计划报告的安全漏洞的经济奖励，行业分析师将此决定归因于AI驱动的低质量提交，尽管英特尔未公开确认AI是原因。curl项目在2026年1月因被非实际漏洞的AI生成报告淹没而结束其漏洞赏金计划。Linux内核维护者表示，他们被AI驱动的漏洞猎人“完全淹没”，这些猎人将每版内核的漏洞数量推至约2000个的记录，迫使该项目放弃了对旧版网络驱动程序的支持。微软在2026年5月警告称，AI工具将增加整个软件行业漏洞发现的“速度和广度”，并“可能增加”企业安全人员的运营需求。
OSS VRP于2022年8月启动，涵盖谷歌拥有的开源项目，包括Go、Angular、Bazel、Protocol Buffers和Fuchsia，以及关键的第三方依赖和仓库配置，如GitHub Actions和访问控制规则。该计划此前曾为旗舰项目中的产品漏洞提供500至7,500美元的奖励，为重要项目提供101至3,133.7美元的奖励；这些金额于9月30日从公开规则中删除，即暂停宣布的前一天。
仍确定的是：暂停是临时的而非永久取消，供应链报告保持开放，早期提交不受影响。仍不确定的是：收到了多少报告，其中AI生成的比例是多少，验证它们花费了多少工程时间，以及修订后的规则将如何。等待中的是：谷歌在2027年第一季度的更新。
随着AI降低了制造看似合理的漏洞报告的成本，证明或证伪它们的成本仍然需要大量人工，这使得披露计划需要解决如何将真实漏洞与自动化噪音区分开来的问题。