AI 垃圾报告泛滥，企业漏洞赏金计划不堪重负
漏洞赏金计划曾是企业发现软件安全漏洞的利器，如今却因 AI 生成的低质量报告泛滥而面临危机。多家知名企业被迫暂停或调整计划，以应对“永不停止的 AI 垃圾报告”。
从惊喜到困扰：AI 如何冲击漏洞赏金生态
过去，独立安全研究人员通过发现漏洞赚取赏金，企业则借此提升产品安全性，形成双赢。然而，生成式 AI 的普及正在打破这一平衡。Bugcrowd——客户包括 OpenAI、T-Mobile 和 Motorola——报告称，2025 年 3 月，其收到的报告数量在三周内激增 4 倍，但绝大多数被证实为虚假。Curl（广泛使用的数据传输工具）于 2025 年 1 月暂停付费赏金计划，其创始人 Daniel Stenberg 直言“AI 垃圾报告爆炸式增长”，不仅耗费大量管理精力，有时还需长时间验证才能戳穿。
三类“肇事者”：从新手到 AI 自动化系统
网络安全公司 Sophos 的首席信息安全官 Ross McKerchar 指出，低质量 AI 报告激增背后有三类人群：一是初次尝试的业余爱好者，二是被 AI 工具误导的现有研究人员，三是“有经验的 AI 构建者”——他们开发了端到端自动化扫描与提交系统，造成“绝对混乱”。这些自动化系统能够批量生成报告，但缺乏对漏洞真实性的判断，导致企业安全团队被海量无效信息淹没。
连锁反应：企业被迫调整策略
Nextcloud 于 2025 年 4 月暂停其漏洞赏金计划，理由是“低质量报告大量增加”。McKerchar 认为，漏洞赏金计划不会消失，但必须改变。例如，企业可能引入更严格的报告筛选流程，或要求提交者提供更详细的验证信息。尽管 Google 的赏金计划 2024 年支付总额达 1700 万美元（高于 2021 年的 750 万美元），但 AI 垃圾报告问题可能迫使其重新评估审核机制。
行业反思：AI 的双刃剑效应
AI 在安全领域的应用本应提升效率——有经验的研究人员可利用它更快发现漏洞。但当前现状显示，AI 降低了入门门槛，却未同步提升报告质量，形成“劣币驱逐良币”的隐患。Curl 的 Stenberg 坦言，管理这些垃圾报告已造成“严重的精神负担”。业界呼吁建立更智能的过滤机制，或通过赏金分层来区分高质量与低质量贡献。
小结
AI 生成的垃圾报告正从“技术问题”演变为“运营危机”。漏洞赏金计划的未来，可能在于更严格的准入标准、更高效的自动化筛选，以及社区对“AI 辅助但非主导”的共识。对于依赖社区安全力量的企业而言，平衡开放性与质量控制，将是下一阶段的关键挑战。