“源源不断”的AI垃圾信息给企业黑客悬赏计划带来压力

“源源不断”的AI垃圾信息给企业黑客悬赏计划带来压力

一句话看懂：全球企业依赖的“漏洞悬赏计划”正被AI生成的虚假报告淹没，包括ChatGPT在内的AI工具被用于批量产出低质量、不可复现的安全漏洞报告，导致安全团队审核成本激增，严重干扰了真实威胁的响应效率。

事件核心：发生了什么

根据《金融时报》报道，多家知名科技公司和网络安全公司发现，其“漏洞悬赏计划”——即向发现安全漏洞的白帽黑客支付奖金——正在遭受由AI生成的“垃圾报告”的冲击。安全平台HackerOne的数据显示，其平台上AI生成的低质量报告数量持续攀升，这些报告通常由大语言模型（如ChatGPT）或专门的AI工具自动生成，内容看似完整但缺乏实际可复现的漏洞细节。例如，部分报告直接复制API文档或模型输出作为漏洞描述，却没有提供真实的攻击向量。安全分析师表示，处理这些“源源不断”的AI垃圾信息已成为日常工作中耗时最多的环节之一，因为必须逐一核实其真实性，这直接挤占了用于发现和修复真实高危漏洞的资源。

为什么重要

漏洞悬赏计划是当前企业安全体系中的关键一环，尤其对互联网平台、云服务和金融科技公司而言，它是快速发现并修复零日漏洞的重要渠道。AI生成的虚假报告泛滥，本质上是攻击性AI能力（如自动化生成欺骗性内容）被滥用于非攻击性场景下的“信息干扰”。这暴露出两个深层问题：第一，当前基于文本特征和人工审核的报告鉴别机制已难以应对AI生成内容的规模化冲击；第二，这种现象可能迫使企业提高悬赏计划的参与门槛（如仅限已验证的白帽黑客社区），从而扼杀非专业安全爱好者的参与热情。对于依赖社区化安全生态的开源项目和小型公司而言，审核成本的陡增可能迫使其放弃或缩减悬赏计划，最终削弱整体的安全防御能力。

对用户/开发者/创作者的影响

对安全从业者和白帽黑客：真实漏洞报告的提交者可能面临更长的审核周期和更低的奖金分配效率，因为有限的人力被大量垃圾报告牵制。部分平台已开始引入AI报告自动过滤工具，但这又增加了工具依赖风险——如果过滤规则被反向学习，AI生成的垃圾报告可能变得更难识别。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

对普通服务使用者：如果企业因审核成本过高而缩减悬赏范围，或减少对非关键系统的投入，潜在漏洞的发现与修复周期可能延长。用户在浏览网页、使用云服务或移动应用时，遭遇未知漏洞攻击的概率将被动上升。

对AI工具与模型开发者：类似事件会加速“AI内容真实性检测”技术的商业化需求。提供API接口的模型公司（如OpenAI）可能面临压力，需要在模型输出中加入更强的可追溯性标识以协助垃圾报告鉴别。同时，这也为专门训练“AI报告鉴别器”的创业公司提供了明确的应用场景。

值得关注的后续

1. 平台对策演化：HackerOne、Bugcrowd等主流漏洞悬赏平台是否会在2025年底前正式上线AI报告自动鉴别模块，或与安全厂商合作推出“报告真实性评分”系统。

2. 悬赏奖金池结构化调整：企业可能按照“报告质量”而非“漏洞发现”阶梯式发放奖金，或增加“可复现性验证报告”的奖励权重，从而激励提交者提供更完整的攻击链，而非单纯依赖AI生成的文本描述。

3. 监管与行业标准：各国信息安全机构是否会出台针对“AI生成垃圾报告”的指导性文件，在保障安全社区开放性的同时，明确禁止利用AI工具批量提交虚假报告的行为，并设立对应的处罚条款。

来源：www.ft.com