IT之家 10 月 14 日消息，华为安全应急响应中心今日发布了关于华为终端安全奖励计划后续漏洞报告处理规则的通知。

官方指出，今年收到了大量借助 AI 工具辅助发现的漏洞报告，其中多数报告附带了 PoC（IT之家注：概念验证，用于证实某个安全漏洞确实存在且可被触发的代码、脚本、请求数据包或详细复现步骤），但依然不可避免地存在因 AI“幻觉”误导而产生的错误报告。

为了合理分配有限的审核资源，确保华为终端安全奖励计划审核团队能够集中精力处理真实有效的漏洞，同时维护健康有序的社区生态，现提出以下要求：

一、漏洞报告要求

对于通过 AI 辅助或自动化方式发现的漏洞报告，提交前必须进行人工分析和验证。我们鼓励白帽子提交完整的 EXP 攻击链验证，请确保报告中提供漏洞实际安全影响的证据，包括但不限于：

• 动态可执行的完整 PoC；
• 受影响的产品、系统版本及危害说明（注：要求漏洞影响的产品须在奖励计划范围内，且已升级至最新 HarmonyOS 系统版本）；
• 报告内容清晰易懂，复现步骤简洁明了；
• 完整日志及结果截图/演示视频；
• 攻击路径必须从实际攻击场景的入口触发，并证明产生实际的安全影响。

二、不规范行为

白帽子在参与奖励计划的全过程中，应始终保持相互尊重，以专业、友好的方式和语气进行交流。禁止以下行为：

• 持续、重复、大量提交由 AI 直接生成、未经人工复现、未通过最新可调用接口触发、截取不完整代码片段分析验证，或未提供可证明实际安全影响的验证结果的无效报告；
• 歪曲事实、恶意诋毁华为终端安全奖励计划，或实施言语攻击、辱骂、威胁、骚扰工作人员及刷屏留言等恶意行为。

三、不规范行为处置

• 对于上述第 1 项行为，平台将直接驳回相关报告，且不逐一说明驳回原因。对于累计提交 3 份上述无效报告的账号，平台将予以提醒；累计达到 5 份的，平台有权封禁其华为安全奖励计划账号。
• 对于上述第 2 项行为，华为终端安全奖励计划有权立即终止其账号持有人（含团队/组织）的参与资格，或对其实施永久封禁。

此外，官方还调整了工具类漏洞受理范围：

自 2026 年 9 月 30 日起，暂不受理华为终端工具（如 DevEco 等）的漏洞。但若您发现了可导致自研工具公有仓供应链投毒类漏洞，或利用该工具可影响华为终端设备安全的漏洞，仍可提交，我们将根据漏洞影响等因素综合评估后予以答复。