Una segnalazione non valida è una submission di sicurezza che non descrive una vulnerabilità reale e riproducibile. Può trattarsi di un duplicato, di un fraintendimento del normale comportamento, di un'affermazione vaga senza prove oppure di un messaggio generato automaticamente che non può essere verificato. Nei programmi di bug bounty e di divulgazione delle vulnerabilità, la validità dipende dalle prove: passaggi chiari per riprodurre il problema, asset interessati e un impatto sulla sicurezza credibile.
Le segnalazioni non valide sono importanti perché consumano tempo di triage, ritardano la risposta ai problemi reali e possono sovraccaricare le code di revisione. In pratica, attaccanti o automazioni di bassa qualità possono sommergere i programmi con invii standardizzati per creare rumore o manipolare i sistemi di ricompensa. I difensori riducono questo rischio con regole di ambito, requisiti di proof-of-concept, deduplicazione, limiti di frequenza e revisione umana focalizzata sulla riproducibilità. Controlli efficaci in ingresso aiutano a mantenere utili i canali di divulgazione, invece di trasformarli in un collo di bottiglia operativo.