华为终端安全奖励计划关于后续漏洞报告处置规则的公告

华为安全奖励计划
华为安全奖励计划

华为安全应急响应中心

2026年10月14日 17:27
广东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

各位亲爱的白帽子：

衷心感谢大家一直以来对华为终端安全奖励计划的关注与支持。

随着AI技术的快速发展，我们欣喜地看到：更多白帽子加入守护华为用户安全的阵营，借助AI对鸿蒙安全提出了诸多独到见解。这让我们深刻认识到——AI真正的价值，从来不是“近海捞虾”，而是“深海捕鲸”。我们期待白帽子们继续将AI工具辅助或自动化挖掘漏洞的技术投向对鸿蒙安全影响深远的研究，不断提出新的攻击视角，开辟新的研究思路。

我们将“贴近用户日常使用场景并可能造成实际安全影响的漏洞利用链”视为对用户最为严重的安全威胁。

为此，华为终端安全奖励计划将最高奖金授予发现可实现漏洞组合攻击等对鸿蒙安全影响深远问题的白帽子。后续，我们将优先接收并处理严重威胁用户安全的完整攻击链及单个影响较大的安全问题。

关于漏洞报告的要求及不规范行为处置原则：

今年，我们收到了大量利用AI工具辅助挖掘的漏洞报告，其中大多数报告都提供了PoC，但仍不可避免地存在因AI“幻觉”误导而产生的误报。为了合理分配有限的审核资源，确保华为终端安全奖励计划审核团队能聚焦于真实有效的漏洞，同时维护健康有序的社区生态，现提出如下要求：

（一）漏洞报告要求

对于AI辅助或自动化发现的漏洞报告，提交前务必进行人工分析和验证。我们鼓励白帽子提供完整的EXP攻击链验证，请确保报告中提供漏洞实际安全影响的证明，包括但不限于：

• 动态可执行的完整PoC；

• 受影响的产品、系统版本和危害说明（注：要求漏洞影响产品须在奖励计划范围内且已升级至最新HarmonyOS系统版本）；

• 报告内容清晰易懂，复现步骤简洁明了；

• 完整日志及结果截图/演示视频；

• 攻击路径必须从实际攻击场景的入口触发并且证明产生实际的安全影响。

（二）不规范行为

白帽子在参与奖励计划的全过程中，应始终保持相互尊重，以专业、友好的方式和语气交流。禁止以下行为：

1、持续、重复、大量提交由AI直接生成、未经人工复现、未通过最新可调用接口触发、截取不完整代码片段分析验证或未提供可证明实际安全影响的验证结果的无效报告；

2、歪曲事实、恶意抹黑华为终端安全奖励计划或实施言语攻击、辱骂、威胁、骚扰工作人员及刷屏留言等恶意行为。

（三）不规范行为处置

1、对于上述第1项行为，平台将直接驳回相关报告，且不逐一说明驳回原因。对于累计提交3份上述无效报告的账号，平台将予以提醒；累计达到5份的，平台有权封禁其华为安全奖励计划账号。

2、对于上述第2项行为，华为终端安全奖励计划有权立即终止其账号持有人（含团队/组织）的参与资格或对其实施永久封禁。

关于工具类漏洞受理范围的调整：

自2026年9月30日起，暂不受理华为终端工具（如DevEco等）的漏洞。但若您发现了可导致自研工具公有仓供应链投毒类漏洞或利用该工具可影响华为终端设备安全的漏洞，仍可提交，我们将根据漏洞影响等因素综合评估后予以答复。

本公告发布前已提交的漏洞报告，我们将按原定流程正常处理和评定。

再次感谢每一位白帽子的理解、支持与贡献。

——华为终端安全奖励计划