Google заморозила свою програму винагород за виявлення багів у відкритому вихідному коді через «значне зростання» подань ШІ

Компанія Google оголосила про призупинення з 1 жовтня програми Open Source Software Vulnerability Rewards Program. Ця ініціатива передбачала виплату винагород дослідникам безпеки за пошук і повідомлення про вразливості в програмному забезпеченні компанії з відкритим вихідним кодом. За даними Google, основною причиною стала «значна кількість автоматизованих подань, переважна більшість яких не є дійсними».

Програма призупинена до першого кварталу 2027 року, коли очікується оновлення щодо її подальшої долі. За цей період компанія планує переглянути підходи до управління звітами про вразливості. За інформацією джерел, інженери Google та розробники проєктів з відкритим кодом були перевантажені великою кількістю недійсних повідомлень, що містили так звані «галюцинації» ШІ.

Проблема з поданнями, згенерованими штучним інтелектом, не нова для спільноти кібербезпеки. Вже минулого року експерти попереджали про потенційні ризики, які штучний інтелект може становити для програм Bug Bounty, зокрема через генерацію великих обсягів низькоякісних або помилкових звітів.

Наразі учасникам, які бажають виявляти вразливості, рекомендовано розглядати інші програми винагород від Google. Компанія продовжує підтримувати низку аналогічних програм, спрямованих на покращення безпеки своїх продуктів і сервісів, які не є частиною відкритого вихідного коду.

Що це означає: Призупинення програми Google ілюструє виклики, які несе швидке впровадження штучного інтелекту в різних сферах, зокрема у кібербезпеці. Для компаній, які покладаються на зовнішніх дослідників для виявлення вразливостей, це може означати необхідність перегляду механізмів подання та верифікації звітів. З іншого боку, це також може стимулювати розробку більш досконалих фільтрів та інструментів для розрізнення якісних знахідок від згенерованого шуму, дозволяючи зосередити ресурси на реальних загрозах безпеці.