Google suspendă programul de recompense pentru descoperirea de bug-uri în proiectele open-source, pe fondul unui val de raportări eronate generate cu AI

Adaugă-ne ca sursă preferată în Google

Urmărește-ne in Discover

Google suspendă temporar recompensele financiare pentru cercetătorii de securitate, deoarece personalul său nu poate ține pasul cu afluxul actual de rapoarte generate automat. „Marea majoritate” a acestor sesizări sunt de slabă calitate, avertizează Google, și conțin informații nevalide sau date halucinate privind vulnerabilitățile.

Programul vizat este Google Open Source Software Vulnerability Rewards Program (OSS VRP), pe care compania l-a creat pentru a stimula specialiștii să raporteze breșe de securitate în proiectele open-source ale Google, potrivit TomsHardware.

Compania a precizat că programul său OSS VRP este copleșit de alerte false și irelevante, până la punctul în care gestionarea lor a devenit imposibilă.

Ca urmare, compania oprește primirea tuturor sesizărilor până la sfârșitul anului, pentru a reevalua procesul și pentru a identifica soluții noi.

Măsura a intrat în vigoare la 1 octombrie, în ziua anunțului, și nu vizează vulnerabilitățile semnalate înainte de această dată. Google a subliniat că poate accepta în continuare rapoarte privind vulnerabilitățile de produs prin programul Cloud VRP, „pentru anumite depozite Google Cloud care afectează produsele Google Cloud”. Suspendarea nu afectează nici rapoartele privind lanțul de aprovizionare din cadrul programului OSS VRP.

OSS VRP este un program dedicat de recompense prin care Google încurajează cercetătorii independenți să descopere și să transmită responsabil problemele de securitate din ecosistemul său open-source. În cadrul acestei inițiative, rapoartele vizează defecte de cod, erori logice sau scăpări de arhitectură din depozitele publice ale Google. Această activitate presupunea o muncă manuală meticuloasă și competențe avansate. Totuși, apariția modelelor mari de limbaj (LLM) și a instrumentelor automate de detecție bazate pe AI a redus drastic efortul de redactare, fapt care a declanșat un val masiv de sesizări automate, trimise cu o minimă verificare prealabilă.

Multe dintre aceste rapoarte susțineau că au identificat erori reale, deși conțineau doar date eronate sau halucinații imposibil de reprodus. Specialiștii Google au ajuns să aloce prea mult timp verificării manuale a codului, în loc să remedieze vulnerabilități autentice și critice. Această situație a impus oprirea temporară a programului. Google plănuiește să transmită noutăți despre viitorul inițiativei în primul trimestru al anului 2027.

Google nu este singura organizație care întâmpină dificultăți din cauza alertelor de securitate generate cu ajutorul AI.

Comunitatea Linux a oprit în această primăvară dezvoltarea driverelor vechi după ce rapoartele trimise automat au blocat activitatea programatorilor, iar Intel a renunțat complet la recompensele bănești din programul propriu. Utilizatorii pot raporta în continuare vulnerabilități, însă fără compensație financiară.

Decizia este o lovitură directă pentru experții și pasionații de securitate cibernetică, care obțineau anterior mii de dolari din identificarea breșelor majore. Deși sistemele AI pot sprijini securitatea digitală pe termen lung, eliminarea recompenselor riscă să lase nedetectate vulnerabilități subtile, pe care doar analiza umană le poate scoate la iveală.