华为终端安全奖励计划收紧漏洞报告规则，AI辅助挖掘需人工验证

10月14日，华为安全应急响应中心发布华为终端安全奖励计划后续漏洞报告处置规则公告。官方表示，2026年收到大量利用AI工具辅助挖掘的漏洞报告，其中大多数提供了PoC（概念验证），但仍不可避免地存在因AI“幻觉”误导而产生的误报。

为合理分配审核资源，确保审核团队聚焦于真实有效的漏洞，新规要求：对于AI辅助或自动化发现的漏洞报告，提交前务必进行人工分析和验证。官方鼓励白帽子提供完整的EXP攻击链验证，并在报告中证明漏洞的实际安全影响，包括提供动态可执行的完整PoC，受影响产品、系统版本和危害说明（受影响产品须在奖励计划范围内且已升级至最新HarmonyOS系统版本），清晰简洁的复现步骤，完整日志及结果截图或演示视频；攻击路径须从实际攻击场景的入口触发，并证明产生实际安全影响。

对于持续、重复、大量提交由AI直接生成、未经人工复现、未通过最新可调用接口触发、截取不完整代码片段分析验证或未提供可证明实际安全影响的验证结果的无效报告，平台将直接驳回，且不逐一说明驳回原因。累计提交3份此类无效报告的账号将被提醒，累计达到5份的，平台有权封禁其华为安全奖励计划账号。

官方同时调整了工具类漏洞受理范围：自2026年9月30日起，暂不受理华为终端工具（如DevEco等）的漏洞；但若发现可导致自研工具公有仓供应链投毒类漏洞，或利用该工具可影响华为终端设备安全的漏洞，仍可提交，官方将根据漏洞影响等因素综合评估后答复。