AI生成噪音冲击漏洞赏金体系，印度封杀去中心化应用Bitchat

事件概述

近期，人工智能技术在网络安全领域的滥用引发了行业震动，同时全球多地对去中心化应用的监管力度显著加强。主要事件包括Google及多家科技巨头因AI垃圾报告问题暂停漏洞赏金计划，以及印度政府以技术能力为由封杀去中心化应用Bitchat。

核心信息

1. AI低质量报告引发漏洞赏金（Bug Bounty）体系危机

• Google暂停计划：2026年10月1日，Google宣布暂停其开源软件漏洞奖励计划（OSS VRP）的产品漏洞提交通道，预计重启时间为2027年第一季度。官方理由为自动化提交数量显著增加且绝大多数无效。知情人士透露，工程师和维护者已被数千份由AI生成的“幻觉”报告淹没，验证成本远超生成成本。
• 连锁停摆效应：AI将提交成本降至零，但验证成本未变，导致不对称博弈，引发Bug Bounty体系系统性崩塌：
  • curl：于2026年1月终止运行近七年的悬赏项目，有效报告率从>15%断崖式降至<5%。
  • Intel：于2026年9月暂停最高奖金为10万美元的漏洞奖励计划。
  • Apple：于2026年8月设置提交上限与30天冷却期，导致真实零日漏洞被噪音阻挡。
  • HackerOne：于2026年3月暂停Internet Bug Bounty资金池，连带Node.js悬赏计划终止。
• 深层影响：
  • 维护压力：Linux内核每版本CVE数量从6.x时代的约500个逼近2000个，发现速度已达人类修复能力的3倍以上。
  • 机制演变：短期来看，Bug Bounty将进化出AI预筛选、信誉分配额制等机制（如curl移除金钱奖励后有效报告率恢复至15%-16%）。中长期看，安全行业面临劳动力重置，“只会跑工具”的岗位被淘汰，稀缺能力转向验证与修复策略。
  • 公地悲剧：AI利用开源代码训练并扫描生成低质量报告，由无偿志愿者承担验证成本，形成恶性循环。

2. 印度封杀去中心化应用Bitchat

• 封禁行动：2026年10月3日，印度政府援引《信息技术法》第69A条，要求苹果和谷歌将Jack Dorsey开发的去中心化通信应用Bitchat从印度App Store及Google Play下架。TestFlight测试通道和ISP访问同步被切断，三个月内完成了从GitHub删库到分发渠道的全链路封杀。
• 数据背景：根据Sensor Tower数据，下架前一周（7月17日—23日），印度占Bitchat全球下载量的约85%，5天内下载超9.1万次；7月19日单日下载量环比飙升32倍，日活跃用户在印度一度突破33万。下载量的爆发使其成为监管目标。
• 监管升级：此次封禁从“内容审查”升级为“能力审查”。政府不再针对具体信息内容，而是因应用具备“断网下保持通信”的技术能力直接封杀应用本体。
• 法律争议：IFF指出，Section 69A仅允许封锁非法信息而非应用本身，此案动摇了该条款的合宪性基础，也对苹果、谷歌等平台在印度的合规运营构成新的法律风险。