黑客们曾经用技术本事换赏金，现在换成用 AI 刷量了。
Financial Times 通过 Ars Technica 报道了一则网络安全圈的"内部危机"：企业的 Bug Bounty（漏洞赏金）项目正在被 AI 自动生成的垃圾报告淹没。
发生了什么？
Bug Bounty 是网络安全行业的一种常见机制：企业公开悬赏，鼓励外部安全研究员发现和报告其产品中的安全漏洞。发现一个漏洞，根据严重程度，研究员可以获得从几百到几十万美元不等的奖金。
这是一个双赢的模式——企业以更低的成本发现了安全问题，安全研究员靠技术本事赚钱。
但现在，这个模式正在被 AI 破坏。
有人用 AI 工具批量生成漏洞报告，然后大量提交。这些报告的特征是：
- 数量巨大：一个人一天可以提交几十甚至上百份报告
- 质量极低：多数是已知的、无关紧要的、或者根本不存在的问题
- 看起来专业：AI 生成的文本格式规范、术语正确，乍看之下很有说服力
FT 的报道用了一个词来形容这种现象："never-ending"（无休止的）。企业的安全团队不得不花费大量时间来筛选这些 AI 生成的报告，从海量噪音中找出真正有价值的发现。
企业开始退缩了
报道提到，一些企业已经在重新评估甚至收缩其 Bug Bounty 项目。原因很直接：当 AI 让提交报告的门槛降到几乎为零时，赏金项目的 ROI（投资回报率）变得极其难看。
一个安全团队每天收到 100 份报告，其中 95 份是 AI 垃圾，3 份是重复的已知问题，只有 2 份是真正值得关注的。这意味着团队 95% 的时间花在了处理垃圾上。
对很多企业来说，这笔账算不过来。
更深层的问题
这其实和 arXiv 面临的 AI slop 问题是同一种现象——当 AI 把"产出内容"的成本降到接近零时，"验证内容"的成本就相对变成了瓶颈。
在学术界，验证一篇论文需要同行评审；在安全领域，验证一个漏洞需要安全工程师花时间复现和确认。不管哪个领域，AI 都在不对称地影响这个链条——它让生产变得极其容易，但验证仍然需要人类。
怎么办？
目前行业内有几种应对思路：
- 提高提交门槛：要求报告包含可执行的复现代码或 PoC（概念验证），而不仅仅是文字描述
- AI 反制 AI：用 AI 工具初步筛选 AI 生成的报告
- 信用评分机制：为研究员建立信誉档案，高信誉的报告优先处理
- 收费提交：对每次提交收取小额费用，增加刷量成本
但每种方案都有局限性。提高门槛可能误伤真正的初级研究员；AI 反制 AI 可能陷入猫鼠游戏；信用评分对新人不友好；收费提交则违背了 Bug Bounty 的开放精神。
这不是 Bug Bounty 独有的问题
Bug Bounty 行业的困境只是更大趋势的一个切片。从 arXiv 到内容平台到客服系统，任何依赖"人类提交内容 + 人类审核内容"的模式，都在面临 AI 生成内容的冲击。
当 AI 让"说废话"的成本趋近于零，"听真话"的代价就变得无比昂贵。