让 AI 扫代码并自动写漏洞报告，本来像是给安全研究者添了帮手。问题是，生成一份像模像样的报告很快，验证它却很慢：审核者要复现问题、判断攻击条件和实际影响，还得排除重复与误报。自动化提高了投稿量，却没有同步省下审核人力。
据 TechCrunch 报道，Google 已于 10 月 1 日暂停 Open Source Software Vulnerability Rewards Program——一项奖励研究者发现其开源软件漏洞的计划，预计到 2027 年第一季度再公布进展。Google 称，自动提交“显著增加”，其中绝大多数无效；Tom’s Hardware 报道称，工程师和开源维护者还收到不少包含虚构内容、无法成立的报告。
这件事值得注意，不是因为 AI 不会找漏洞，而是它把安全工作的瓶颈推到了验证环节。所谓 AI slop，就是批量生成、看似专业却缺少可靠复现步骤或实际影响的内容。机器降低了投稿门槛，却可能让真正有价值的报告更难被及时看见。