2026-04-10 03:26:37 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： IBB于2026年3月27日暂停漏洞提交，主因是生成式AI导致低质量报告泛滥，有效漏洞确认率从15%跌至不足5%。事件暴露开源安全治理三大矛盾：激励机制失效、安全责任真空、第三方平台模式脆弱。建议转向非金钱激励和自动化审核工具，推动政策支持开源安全。 综合评分： 75 文章分类： 漏洞分析,AI安全,安全建设,威胁情报,供应链安全

cover_image

AI挖洞让赏金模式停摆？——HackerOne暂停漏洞收购的分析

安天垂直响应平台

2026年4月3日 21:22 河北

点击上方”蓝字”

关注我们吧！

安天基于loongClaw（龙爪）平台自动获取信息聚合生成“AI挖洞让赏金模式停摆？——HackerOne暂停漏洞收购的分析”文章。

IBB暂停漏洞悬赏的基本情况

1.1 事件概述

#

互联网漏洞赏金计划（InternetBug Bounty, IBB）于2026年3月27日正式暂停接受新的漏洞提交。该计划由HackerOne平台运营，自2013年11月启动以来，累计发放赏金超过154万美元（截至暂停时总额为$1,545,913），解决漏洞1,057个，支持了包括Django、Ruby on Rails、Apache、Node.js、curl、OpenSSL等在内的20余个核心开源基础设施项目。。

IBB 首创众筹资金池模式，由 Meta（原 Facebook）、微软、GitHub、福特基金会等机构联合赞助，资金 100% 用于奖励安全研究人员与开源维护者。其核心创新在于 80/20 赏金分配机制：80% 赏金发放给漏洞发现者，20% 定向分配给项目维护者，以此激励志愿者高效推进漏洞修复，构建开源安全生态的正向循环。

1.2 暂停原因：AI生成报告的”千刀万剐”效应

IBB暂停的核心原因是生成式AI导致的低质量漏洞报告泛滥，具体表现为：

• 数据冲击：curl项目：2026年1月的16小时内收到7份HackerOne报告，当月累计20份提交，有效漏洞确认率从曾经的15%以上跌至不足5% HackerOne平台运营积压：2025年底出现严重运营延迟，研究人员报告8500美元赏金遭遇”已读不回”，官方承认存在”临时运营积压”。

• 机制失效：成本转移：AI降低了漏洞发现成本，但维护者的审核负担丝毫未减筛选机制崩溃：传统赏金计划依靠”经济门槛”筛选高质量研究，AI使提交成本趋近于零，导致”刷报告”行为泛滥，维护者倦怠：curl创始人Daniel Stenberg创造术语“death by a thousand slops”（千刀万剐），形容慢性消耗效应。

• 根本原因：AI发现漏洞的速度远超开源生态系统修复漏洞的速度，激励机制出现结构性失衡。

1.3 连锁反应：多米诺骨牌效应

#

IBB暂停已引发开源安全生态的多米诺骨牌效应：

| | | | | | — | — | — | — | | 时间 | 项目 | 反应 | 后续安排 | | 2026年1月31日 | curl | 永久终止HackerOne赏金计划 | 转向GitHub私有漏洞报告（无金钱奖励） | | 2026年3月27日 | IBB整体 | 暂停新提交 | 未公布恢复时间 | | 2026年4月2日 | Node.js | 宣布暂停安全赏金计划 | 明确说明”作为志愿者驱动项目，无独立预算维持赏金计划” | | 持续中 | Ghostty、tldraw 等 | 限制外部贡献或关闭PR接收 | 开源社区信任危机蔓延，协作模式面临结构性挑战 |

#

1.4 AI 击穿赏金模式：开源安全治理的转折点已至

#

IBB 的正式暂停，标志着传统开源安全治理模式在 AI 时代的彻底失效，是开源安全领域的标志性转折点。这一事件暴露了当前开源安全体系的三大深层矛盾：

1.激励机制彻底失效：传统赏金计划靠「经济门槛」筛选高质量研究，用赏金激励专业贡献。但生成式AI 的普及，让「刷报告」的成本趋近于零，海量低质报告不仅大幅增加了维护者的审核负担，更彻底摧毁了原有的质量筛选机制。

2.安全责任无人承接：绝大多数开源项目由志愿者驱动，本身没有独立的安全预算，完全依赖IBB 这类第三方资金池维持赏金计划。当 IBB 资金撤出，开源项目的安全治理责任直接陷入真空，没有任何主体可以承接。

第三方平台模式脆弱性凸显：HackerOne 作为商业平台，在 AI 低质报告的冲击下出现严重运营积压，无法维持服务质量，彻底暴露了「第三方平台 + 众筹资金」模式在 AI 时代的结构性脆弱，无法应对规模化的自动化攻击。

IBB和全球漏洞赏金计划的情况

2.1 IBB的历史背景

创立背景（2013年）：

– 核心问题：OpenSSL、PHP、Python等关键开源项目自身无力运作漏洞赏金计划，却支撑着整个互联网运转

– 发起动机：解决”公地悲剧”——企业免费使用开源软件，却无人为其安全买单

发展历程：

2.2 在线入口和运营平台

官方入口：https://hackerone.com/ibb（现已暂停新提交）

平台架构：

– 运营平台：HackerOne商业漏洞赏金平台

– 管理架构：独立安全专家志愿者委员会，成员来自Uber、微软、Facebook、Adobe及HackerOne

– 流程：漏洞发现→HackerOne提交→委员会审核→修复→自动从资金池扣款发放

2.3 发起人与核心人物

2.4 资金模式和赏金标准

资金模式：众筹资金池

赏金标准：

历史累计数据（2013–2026年暂停止）：

累计赏金：$1,545,913

解决漏洞数量：1,057个

平均赏金：约$750–$1,000/漏洞洞

2.5 主要赞助商演变

| | | | | | — | — | — | — | | 赞助商 | 加入时间 | 捐赠金额 | 角色定位 | | Facebook（Meta） | 2013年（创始） | 累计$300,000+（含2017年$100,000、2021年$100,000续捐） | 最长期支持者 | | 微软 | 2013年（创始） | 未披露 | 技术+资金 | | 福特基金会 | 2017年 | $100,000 | 最大慈善组织之一，关注互联网自由 | | GitHub | 2017年 | $100,000 | 代码托管平台（微软旗下） | | Facebook（续捐） | 2021年 | $100,000 | 累计捐赠超$300,000 | | TikTok | 2021年 | 未披露 | 字节跳动旗下 | | Shopify | 2021年 | 未披露 | 电商平台 | | Elastic | 2021年 | 未披露 | 搜索与数据分析 | | Figma | 2021年 | 未披露 | 设计协作工具 |

2021年后新模式：HackerOne客户可选择将现有安全支出的1%-10%投入IBB资金池，实现”用开源、护开源”

2.6 覆盖的开源项目

IBB历史上覆盖的核心开源基础设施项目：

全球漏洞赏金计划的简况与对比

3.1 主要计划概览

3.2 运营平台与入口对比

3.3 发起人对比

3.4 漏洞采集规模对比

| | | | | | | | — | — | — | — | — | — | | 计划 | 累计漏洞数 | 赏金发放总额 | 研究人员规模 | 效率指标 | 时间跨度 | | IBB | 1,000+ | $1,545,900+ | ~300人 | 平均$900/漏洞 | 2013-2021 | | Google全VRP | 13,000+ | $65,000,000 | 84国参与者 | 平均$5,000/漏洞 | 2010-2024 | | Google OSS VRP | 未单独披露 | 最高$31,337/漏洞 | – | 新计划，规模较小 | 2022- | | EU-FOSSA 2 | 249份报告/57个有效 | €111,470 | 未披露 | 23%有效率，平均€1,956/有效漏洞 | 2019-2020 | | Mozilla 0Din | 未披露 | 未披露（购买制） | – | 信息购买模式，非固定赏金 | 2024- |

规模分析：

– 资金规模：Google凭借单一企业主体优势，总赏金池最大（$65M），但覆盖自有产品生态

– 影响广度：IBB作为第三方平台，累计影响范围最广（20+核心开源项目），但单项目资金有限

– 政府效率：EU-FOSSA政府资金效率较低（23%有效率），但具有主权战略意义

3.5 重点领域对比

3.6 资金模式与赞助商对比

3.7 应对AI冲击的策略对比

AI自动化挖掘年代的漏洞激励机制走向

4.1 传统赏金模式的结构性失效

#

核心矛盾：AI生成报告使传统”经济筛选”机制彻底崩溃

典型案例：curl项目有效漏洞确认率从历史高点约15%跌至不足5%，维护者被”千刀万剐”（该术语由Daniel Stenberg于2025年7月首次提出）

4.2 全球计划的应对路径分化

基于对比分析，各计划呈现三种截然不同的演化路径：

路径一：政府主导模式（EU-FOSSA 3）

#

特征：

• 资金规模：从EU-FOSSA 2约€851,000专项赏金预算跃升至EU-FOSSA 3近€8,000,000，增长近10倍

• 覆盖范围：从外部开源软件扩展至欧盟公共服务的内部及外部开源项目

• 战略定位：将开源安全视为数字主权和公民权利，而非单纯技术问题

优势：资金充足、长期稳定、主权可控

局限：效率中等（EU-FOSSA 2合并有效率约31%）、官僚主义风险、仅限欧盟相关软件

适用场景：关键基础设施、公共服务、主权敏感领域

路径二：垂直专业化模式（Mozilla 0Din）

#

特征：

• 领域聚焦：专注生成式AI/LLM模型层安全，而非应用层

• 技术门槛：要求对注意力机制、模型架构有深度理解，天然筛选低质量报告

• 机制创新：采用”信息购买制”而非固定赏金，根据价值协商定价

优势：避开AI报告泛滥重灾区、技术前沿、高质量研究聚集

局限：覆盖范围窄、赏金不透明、需要极高专业能力

适用场景：新兴技术领域、高风险前沿、专家驱动型研究

路径三：工具赋能模式（OpenSSF/LF）

#

特征：

• 资金用途：$12.5M新资金不用于赏金，而是用于开发工具支持维护者处理AI报告

• 核心逻辑：从”激励外部发现”转向”赋能内部修复”

• 技术路径：AI辅助修复（如Google CodeMender）+ 自动化筛选工具

优势：解决根本问题（维护者负担）、可持续、不依赖外部资金

局限：需要长期投入、技术挑战大、短期效果不明显

适用场景：大规模基础设施、志愿者驱动项目、长期生态建设

4.3 未来趋势判断

#

基于对比分析，AI自动化挖掘年代的漏洞激励机制将呈现以下五大趋势：

趋势一：从”赏金激励”到”综合赋能”

#

#

趋势二：从”开放提交”到”门槛筛选”

#

新型筛选机制：

• 技术门槛：如Mozilla 0Din要求深度AI模型知识

• 声誉系统：HackerOne Signal分数最低要求（Node.js已实施，要求≥1.0）

• 邀请制：GitHub私有漏洞报告、封闭社区（如0Din的Discord）

• 预审机制：专家验证的AI分析（如OpenSSL/AISLE项目，实现零无效报告）

趋势三：从”第三方平台”到”多元主体”

#

趋势四：从”发现优先”到”修复优先”

赏金分配机制演变：

• IBB模式：80%发现者/20%维护者（已失效）

• EU-FOSSA模式：基础赏金+20%修复奖励

• 未来可能：修复占更大比例，或”修复即服务”模式

核心逻辑：AI使发现变得廉价，修复成为瓶颈资源

趋势五：从”通用平台”到”垂直深耕”

#

#

4.4 中国式漏洞发现与响应机制的构建机遇

#

重要前提：漏洞赏金计划此前本身就不是国内软件产业漏洞发现-响应的主要运行模式。在人工智能+网络安全时代，我们反而可以借助技术发展，实现借势加速，构建中国式的更高效、低成本的漏洞发现与响应机制。

4.4.1 中国软件产业的独特基础

#

#

4.4.2 中国式机制的构建路径

#

路径一：AI驱动的”发现-修复”闭环（工具赋能模式的中国版）

核心优势：避免IBB的”审核瓶颈”，将AI报告泛滥转化为自动化输入，通过企业组织化能力实现规模化处理。

路径二：政府-企业-科研机构协同（政府主导模式的中国版）

| | | | | — | — | — | | 层级 | 功能定位 | 实施主体 | | 国家级 | 关键基础设施保护、战略软件供应链安全 | 网信办、工信部、公安部 | | 行业级 | 重点领域（金融、能源、电信）统一标准 | 行业协会、龙头企业 | | 企业级 | 产品安全生命周期管理 | 软件企业、云服务商 | | 科研级 | 前沿技术预研、人才培养 | 高校、中科院、企业研究院 |

创新机制：

• 漏洞响应SLA制度：关键软件强制要求修复时限，而非依赖赏金激励

• 安全能力认证：软件产品上市前安全测试，替代事后赏金发现

• 供应链安全审查：上游组件漏洞自动追踪，阻断传播链

路径三：垂直领域专业化（垂直专业模式的中国版）

核心策略：利用中国产业规模优势，在关键垂直领域建立国家级安全测试基础设施，替代分散的赏金计划。

4.4.3 具体实施建议

#

短期（1-2年）：机制建设

中期（3-5年）：生态完善

长期（5-10年）：引领标准

4.4.4 核心结论

IBB的暂停不是终点，而是中国式漏洞治理机制的起点。

战略机遇：中国在AI技术应用、产业组织化、数据资源规模方面具有优势，完全有可能跳过”赏金计划”阶段，直接构建AI驱动的、企业主导的、政府协同的下一代漏洞治理体系，在全球软件安全治理格局中实现换道超车。

结语

HackerOne IBB的暂停，揭示了AI时代传统漏洞赏金模式的结构性困境。这不是开源安全的终结，而是新治理模式的序章。对于中国软件产业而言，这恰恰是一次借势加速的历史机遇——无需重复西方”赏金计划→AI冲击→模式转型”的曲折路径，而是可以直接以AI赋能、组织化运作、生态协同为核心，构建更高效、更低成本、更可持续的中国式漏洞发现与响应机制，在全球网络安全治理格局中贡献中国方案。

loongClaw（龙爪）是安天支撑黑龙江省数字运营公司定制的OpenClaw安全加固版本，可以拓展编码开发、威胁分析、信息汇聚采编等技能。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安天垂直响应平台《AI挖洞让赏金模式停摆？——HackerOne暂停漏洞收购的分析》