Google a suspendat, începând cu 1 octombrie, programul de recompense pentru vulnerabilități din software-ul său open source, invocând o creștere semnificativă a raportărilor automate, dintre care majoritatea nu sunt valide. Compania nu a anunțat o dată de reluare, ci a promis o actualizare în primul trimestru din 2027.
Măsura vizează Open Source Software Vulnerability Rewards Program, prin care cercetătorii puteau primi recompense pentru vulnerabilități descoperite în proiectele open source ale Google. Pe durata suspendării, participanții sunt îndemnați să ia în considerare celelalte programe de recompense ale companiei.
Raportările automate au copleșit echipele care verifică vulnerabilitățile
Google a anunțat suspendarea prin postări pe X și pe site-ul programului. „Această pauză se datorează unei creșteri semnificative a raportărilor automate, dintre care marea majoritate nu sunt valide”, a transmis compania, fără să publice cifre despre volumul acestora sau proporția exactă a celor respinse.
Potrivit Tom’s Hardware, inginerii Google și administratorii proiectelor open source au fost copleșiți de raportări nevalide sau care conțineau halucinații. Acestea pot descrie probleme inexistente ori pot prezenta concluzii generate automat ca și cum ar fi rezultate verificate, ceea ce impune timp suplimentar pentru triere și reproducere.
Semnalul nu a apărut fără avertismente: TechCrunch relata anul trecut că specialiști în securitate considerau conținutul automatizat de slabă calitate, numit uneori „AI slop”, un risc pentru programele bug bounty. Suspendarea Google arată că presiunea asupra procesului de validare poate afecta chiar și programe dedicate găsirii unor vulnerabilități reale.
O pauză temporară, nu închiderea tuturor programelor Google
Anunțul privește programul destinat vulnerabilităților din software-ul open source al companiei; sursa nu indică suspendarea tuturor programelor Google de recompense. În perioada de pauză, participanții sunt încurajați să analizeze celelalte programe, însă compania nu oferă în materialul citat detalii despre condițiile sau aria lor de acoperire.
Promisiunea unei actualizări în primul trimestru din 2027 lasă deschisă întrebarea dacă programul va fi reluat, modificat sau înlocuit cu un proces de filtrare diferit. Până la un anunț suplimentar, cercetătorii nu ar trebui să presupună că raportările trimise prin acest canal sunt evaluate sau eligibile pentru recompensă.
Din perspectiva securității, suspendarea reduce temporar un canal prin care cercetătorii puteau semnala probleme în proiectele vizate. Totuși, materialul nu identifică vulnerabilități exploatate, incidente de securitate sau date compromise; problema descrisă este povara raportărilor nevalide asupra echipelor care le verifică.
Lecția pentru companiile și instituțiile din România și UE
Pentru companiile, instituțiile publice și administratorii de proiecte din România și din Uniunea Europeană, cazul subliniază riscul operațional al raportărilor de securitate produse sau amplificate cu ajutorul AI. Un volum mare de alerte neverificate poate consuma resursele echipelor și poate întârzia investigarea semnalărilor credibile, fără să crească automat nivelul de protecție.
Organizațiile care gestionează programe de divulgare responsabilă ar trebui să păstreze un canal clar de raportare, să definească informațiile necesare pentru reproducerea unei probleme și să aplice trierea umană înainte de escaladare. O alertă generată de AI nu trebuie respinsă doar pentru că este automatizată, dar nici tratată drept vulnerabilitate confirmată fără dovezi verificabile.
Cercetătorii și utilizatorii din UE ar trebui să verifice dacă programul vizat acceptă în continuare raportări și să urmeze instrucțiunile publicate de organizația responsabilă. Pentru Google, mesajul imediat este folosirea celorlalte programe disponibile; pentru restul ecosistemului, provocarea este să filtreze mai bine zgomotul fără să blocheze descoperirea și raportarea vulnerabilităților autentice.
