Google приостановила open-source программу поиска уязвимостей из-за потока ИИ-спама

Google временно прекратила приём заявок об уязвимостях в своей программе вознаграждений для открытого ПО — Open Source Software Vulnerability Rewards Program (OSS VRP). Причиной компания называет резко возросший поток автоматических отчётов, подавляющее большинство которых оказались недостоверными.

Программа OSS VRP, запущенная в августе 2022 года, поощряет исследователей за ответственное раскрытие уязвимостей в открытых проектах Google — среди них Golang, Angular, Bazel, Protocol Buffers, Fuchsia — а также в критически важных сторонних зависимостях и в настройках репозиториев: конфигурациях GitHub Actions, параметрах приложений и правилах контроля доступа. Вознаграждения составляли от 100 до 31 337 долларов, а приоритет отдавался уязвимостям с наибольшим влиянием на цепочку поставок ПО.

«Мы временно перестали принимать заявки об уязвимостях в продуктах в рамках OSS VRP. Это не затрагивает отчёты по цепочке поставок и уже поданные заявки», — сообщила компания. По её словам, пауза вызвана именно значительным ростом автоматических обращений.

Исследователям по-прежнему доступны другие пути: можно присылать патчи для открытого ПО в рамках Patch Rewards Program (вознаграждение до 15 000 долларов за значимые исправления) или сообщать об уязвимостях в облачных open-source репозиториях через Cloud VRP. Google намерена переработать правила OSS VRP и обещает рассказать о переменах в первом квартале 2027 года. Изменения не касаются уязвимостей, поданных до 1 октября 2026 года.

Общая болезнь индустрии

Цифры программ Google впечатляют: с момента запуска первой VRP в 2010 году компания выплатила исследователям более 81,6 миллиона долларов. В 2025 году рекордные 17,1 миллиона достались более чем 700 участникам — на 40% больше, чем в 2024-м.

Google не первой столкнулась с валом некачественных отчётов, сгенерированных ИИ. В январе сопровождающий утилиты и библиотеки curl закрыл программу на HackerOne, не выдержав потока «ИИ-мусора». В середине сентября Intel убрала денежные вознаграждения со своей программы на Intigriti, хотя причин так и не объяснила.

Microsoft пока подобных шагов не делала, но ещё в мае предупреждала: ИИ-инструменты помогают находить куда больше уязвимостей, из-за чего «темп и широта их обнаружения» растут по всей индустрии и повышают операционную нагрузку. В прошлом месяце компания выпустила исправления для рекордных 966 уязвимостей, включая две активно эксплуатируемые.

Источник: Bleeping Computer