圈小蛙
在网络安全圈，Bug 悬赏项目（Bug Bounty）本是一场企业与白帽子黑客双赢的博弈：企业花钱买平安，黑客凭技术赚赏金。然而，随着大语言模型（LLM）的泛滥，这种平衡正在被打破。由于大量低质量、由 AI 虚构的报告疯狂涌入，原本高效的漏洞审查机制正面临崩溃。
3周内报告量暴增 4 倍，大多是“幻觉”
据报道，全球知名的漏洞奖励平台 Bugcrowd 近期的数据令人触目惊心。作为 OpenAI、T-Mobile 和摩托罗拉等巨头的安全服务商，Bugcrowd 表示仅在 3 月份的三周时间内，平台收到的报告数量就翻了四倍多。
然而，数量的激增并不代表安全性的提升。Bugcrowd 指出，绝大多数新增报告被证实是完全错误的——黑客利用 AI 编造了看似专业但实则根本不存在的漏洞。这种现象被业内戏称为“AI 废话（AI Slop）”，它们通常包含完美的格式和看似合理的逻辑描述，但指向的却是虚假的 API 接口或完全不存在的配置漏洞。
开发者不堪重负：知名项目选择“退场”
对于开源项目和中小企业来说，处理这些 AI 垃圾信息的成本已经超过了维护项目的收益。早在今年 1 月，大名鼎鼎的开源工具 Curl 的核心维护者 Daniel Stenberg 就愤而宣布暂停其 Bug 悬赏项目，原因正是被海量的虚假报告淹没了精力。
无独有偶，知名隐私云协作平台 Nextcloud 也在 4 月份正式宣布暂停其赏金计划。网络安全公司 Sophos 的首席信息安全官（CISO）Ross McKerchar 在接受采访时直言不讳地表示，低质量的 AI 报告正迅速成为行业面临的最大挑战之一。他警告称，虽然 Bug 悬赏这一模式不会消失，但如果不进行彻底的机制变革，它将沦为毫无意义的“噪声陷阱”。
以 AI 对抗 AI：赏金平台的反击
面对这种“分布式拒绝服务式”的报告攻击，漏洞平台不得不开始引入 AI 智能体（AI Agents）来进行初步筛选。HackerOne 首席执行官 Kara Sprague 透露，他们已经开始利用 AI 来过滤那些明显的、由 LLM 生成的垃圾内容。Sprague 提到，虽然高质量的、真正由 AI 辅助发现的漏洞报告也有所增加，但它们在海量的垃圾信息面前显得杯水车薪。
从技术细节来看，这些恶意报告通常利用 LLM 快速扫描代码库中的模式，然后生成长篇大论的“漏洞证明（PoC）”。然而，AI 往往无法理解代码在真实生产环境中的运行逻辑，导致其生成的报告在物理层面完全无法复现。
这种“AI 幻觉”正迫使安全行业重新思考：当提交漏洞的门槛降至零，赏金制度该如何保护那些真正具有深度的白帽子技术专家？如果无法解决“信息通胀”问题，企业可能会重回“闭门造车”的旧时代。
本报道由 圈小蛙（qxwa.com） 科技资讯站特约撰稿。🐸️