华为终端安全奖励计划要求 AI 挖掘的漏洞报告提交前进行人工分析和验证

感谢IT之家网友 有鲫雪狐 的线索投递！

IT之家 10 月 14 日消息，华为安全应急响应中心今日发布华为终端安全奖励计划关于后续漏洞报告处置规则的公告。

官方表示，今年收到了大量利用 AI 工具辅助挖掘的漏洞报告，其中大多数报告都提供了 PoC（IT之家注：概念验证，证明某个安全漏洞确实存在且可被触发的代码、脚本、请求数据包或详细复现步骤），但仍不可避免地存在因 AI“幻觉”误导而产生的误报。

为了合理分配有限的审核资源，确保华为终端安全奖励计划审核团队能聚焦于真实有效的漏洞，同时维护健康有序的社区生态，现提出如下要求：

一、漏洞报告要求

对于 AI 辅助或自动化发现的漏洞报告，提交前务必进行人工分析和验证。我们鼓励白帽子提供完整的 EXP 攻击链验证，请确保报告中提供漏洞实际安全影响的证明，包括但不限于：

• 动态可执行的完整 PoC；

• 受影响的产品、系统版本和危害说明（注：要求漏洞影响产品须在奖励计划范围内且已升级至最新 HarmonyOS 系统版本）；

• 报告内容清晰易懂，复现步骤简洁明了；

• 完整日志及结果截图 / 演示视频；

• 攻击路径必须从实际攻击场景的入口触发并且证明产生实际的安全影响。

二、不规范行为

白帽子在参与奖励计划的全过程中，应始终保持相互尊重，以专业、友好的方式和语气交流。禁止以下行为：

• 持续、重复、大量提交由 AI 直接生成、未经人工复现、未通过最新可调用接口触发、截取不完整代码片段分析验证或未提供可证明实际安全影响的验证结果的无效报告；

• 歪曲事实、恶意抹黑华为终端安全奖励计划或实施言语攻击、辱骂、威胁、骚扰工作人员及刷屏留言等恶意行为。

三、不规范行为处置

• 对于上述第 1 项行为，平台将直接驳回相关报告，且不逐一说明驳回原因。对于累计提交 3 份上述无效报告的账号，平台将予以提醒；累计达到 5 份的，平台有权封禁其华为安全奖励计划账号。

• 对于上述第 2 项行为，华为终端安全奖励计划有权立即终止其账号持有人（含团队 / 组织）的参与资格或对其实施永久封禁。

此外，官方还调整了工具类漏洞受理范围：

自 2026 年 9 月 30 日起，暂不受理华为终端工具（如 DevEco 等）的漏洞。但若您发现了可导致自研工具公有仓供应链投毒类漏洞或利用该工具可影响华为终端设备安全的漏洞，仍可提交，我们将根据漏洞影响等因素综合评估后予以答复。