华为安全应急响应中心（即华为终端安全奖励计划）于 10 月 14 日发布关于后续漏洞报告处置规则的公告。官方表示，今年以来收到了大量利用 AI 工具辅助挖掘的漏洞报告，其中大多数都提供了 PoC（概念验证，指证明某个安全漏洞确实存在且可被触发的代码、脚本、请求数据包或详细复现步骤），但仍不可避免地出现了因 AI「幻觉」误导而产生的误报。

为合理分配有限的审核资源，让审核团队聚焦于真实有效的漏洞，同时维护健康有序的社区生态，华为终端安全奖励计划对漏洞报告的提交提出了新的要求。

核心要求：AI 发现的漏洞须先人工验证

公告明确，对于 AI 辅助或自动化发现的漏洞报告，提交前务必进行人工分析和验证。官方鼓励白帽子提供完整的 EXP（漏洞利用）攻击链验证，并要求报告中提供漏洞实际安全影响的证明，至少包含以下内容：

• 动态可执行的完整 PoC；
• 受影响的产品、系统版本和危害说明（要求漏洞影响产品须在奖励计划范围内，且已升级至最新 HarmonyOS 系统版本）；
• 清晰易懂的报告内容，复现步骤简洁明了；
• 完整日志及结果截图或演示视频；
• 攻击路径必须从实际攻击场景的入口触发，并证明产生了实际的安全影响。

不规范行为及处置

公告将两类行为列为不规范：其一，持续、重复、大量提交由 AI 直接生成、未经人工复现、未通过最新可调用接口触发、截取不完整代码片段分析验证，或未提供可证明实际安全影响验证结果的无效报告；其二，歪曲事实、恶意抹黑奖励计划，或实施言语攻击、辱骂、威胁、骚扰工作人员及刷屏留言等恶意行为。

对此类行为的处置分为两档：第一类行为，平台将直接驳回相关报告，且不逐一说明驳回原因；同一账号累计提交 3 份上述无效报告的，平台予以提醒；累计达到 5 份的，平台有权封禁其华为安全奖励计划账号。第二类行为，华为终端安全奖励计划有权立即终止该账号持有人（含团队或组织）的参与资格，或对其实施永久封禁。

工具类漏洞受理范围调整

公告还同步调整了工具类漏洞的受理范围：自 2026 年 9 月 30 日起，暂不受理华为终端工具（如 DevEco 等）的漏洞。但如果发现可导致自研工具公有仓供应链投毒类漏洞，或利用该工具可影响华为终端设备安全的漏洞，仍可提交，平台将根据漏洞影响等因素综合评估后予以答复。

这一调整反映出，随着 AI 辅助安全研究在提升挖掘效率的同时，误报问题开始受到厂商重视。通过把审核资源集中到经过人工验证的真实漏洞上，奖励计划希望在 AI 工具普及的背景下，维持漏洞响应质量与社区生态的平衡。