谷歌自相矛盾的回应

谷歌对此事的回应充满了令人眩晕的矛盾。

第一阶段——“抓得好！” O'Leary 于 2026年3月8日 向谷歌报告了该漏洞 。在 3月27日，一名谷歌安全工程师接受了这份报告，并告诉他“抓得好！”。该工程师表示已向相关产品团队提交了漏洞报告，并向 O'Leary 保证他们会与谷歌云一起修复该漏洞，他写道：“我们会与产品团队合作确保这个问题得到解决。修复后我们会通知你” 。谷歌将该漏洞标记为 P1优先级（最高）和 S1严重性（关键——影响大量用户，可能中断核心组织功能）。

第二阶段——“设计如此。” 在 4月7日——仅仅11天后——O'Leary 收到了一条来自谷歌安全机器人的消息，推翻了之前的决定 。云漏洞奖励计划小组得出结论，认为“此问题的安全影响不符合获得奖励的标准”，并且该软件“是设计如此” 。谷歌拒绝了任何奖金。

矛盾之处： 截至《The Register》6月18日的报道，谷歌的内部漏洞追踪系统仍然将 ConfigConfusion 列为 P1/S1，状态为“处理中（已接受）” ——这与公众认为漏洞不存在的立场相矛盾 。

悬而未决的状态

截至2026年6月中旬——距离最初报告已超过三个月——该漏洞仍未得到修补或解决 。O'Leary 随后在 olearysec.com 上发表了一篇包含完整技术细节的研究博文 。

谷歌 2026 年 VRP 变更——更广泛的背景

在 2026年5月初，谷歌全面改革了其 Chrome 和 Android 的漏洞奖励计划，明确提到了 AI 工具在漏洞发现中的兴起 。

主要变化：

• Chrome 奖金普遍下调。谷歌的理由是 AI 工具可以轻易产生大量低质量的提交，因此它调整了奖励结构，以奖励更难自动化、影响更大的漏洞类别 。
• Android 最高奖金提高——一个具有持久性的零点击全链 Titan M2 入侵，现在最高可获得 150万美元 奖金 。
• Chrome 的 CVE 发布数量同比翻了两番（从2025年5月初的52个增加到2026年5月初的252个），谷歌将此作为 AI 生成提交激增的证据 。

批评者认为这造成了一个尴尬的对比：谷歌以“AI 噪声”为由削减 Chrome 奖金，同时却拒绝一位人类研究员精心报告的 CVSS 10.0 云端基础设施漏洞，理由是“设计如此”——安全社区许多人认为这一决定目光短浅，并损害了研究员的信任 。

谷歌自相矛盾的回应

谷歌对此事的回应充满了令人眩晕的矛盾。

第一阶段——“抓得好！” O'Leary 于 2026年3月8日 向谷歌报告了该漏洞 。在 3月27日，一名谷歌安全工程师接受了这份报告，并告诉他“抓得好！”。该工程师表示已向相关产品团队提交了漏洞报告，并向 O'Leary 保证他们会与谷歌云一起修复该漏洞，他写道：“我们会与产品团队合作确保这个问题得到解决。修复后我们会通知你” 。谷歌将该漏洞标记为 P1优先级（最高）和 S1严重性（关键——影响大量用户，可能中断核心组织功能）。

第二阶段——“设计如此。” 在 4月7日——仅仅11天后——O'Leary 收到了一条来自谷歌安全机器人的消息，推翻了之前的决定 。云漏洞奖励计划小组得出结论，认为“此问题的安全影响不符合获得奖励的标准”，并且该软件“是设计如此” 。谷歌拒绝了任何奖金。

矛盾之处： 截至《The Register》6月18日的报道，谷歌的内部漏洞追踪系统仍然将 ConfigConfusion 列为 P1/S1，状态为“处理中（已接受）” ——这与公众认为漏洞不存在的立场相矛盾 。

悬而未决的状态

截至2026年6月中旬——距离最初报告已超过三个月——该漏洞仍未得到修补或解决 。O'Leary 随后在 olearysec.com 上发表了一篇包含完整技术细节的研究博文 。

谷歌 2026 年 VRP 变更——更广泛的背景

在 2026年5月初，谷歌全面改革了其 Chrome 和 Android 的漏洞奖励计划，明确提到了 AI 工具在漏洞发现中的兴起 。

主要变化：

• Chrome 奖金普遍下调。谷歌的理由是 AI 工具可以轻易产生大量低质量的提交，因此它调整了奖励结构，以奖励更难自动化、影响更大的漏洞类别 。
• Android 最高奖金提高——一个具有持久性的零点击全链 Titan M2 入侵，现在最高可获得 150万美元 奖金 。
• Chrome 的 CVE 发布数量同比翻了两番（从2025年5月初的52个增加到2026年5月初的252个），谷歌将此作为 AI 生成提交激增的证据 。

批评者认为这造成了一个尴尬的对比：谷歌以“AI 噪声”为由削减 Chrome 奖金，同时却拒绝一位人类研究员精心报告的 CVSS 10.0 云端基础设施漏洞，理由是“设计如此”——安全社区许多人认为这一决定目光短浅，并损害了研究员的信任 。