Google спря приемането на нови доклади за уязвимости в продукти чрез своята програма Open Source Software Vulnerability Reward Program (OSS VRP), след като вълна от невалидни, генерирани от изкуствен интелект доклади затрупа инженерите и поддържащите софтуера с отворен код, които ги преглеждат.
Страницата с правила на OSS VRP на Google гласи, че „считано от 1 октомври 2026 г., вече не приемаме уязвимости в продукти, подадени към OSS VRP“.
„Това паузиране се дължи на значително увеличение на автоматизираните подавания, огромното мнозинство от които не са валидни“, написа компанията в официална публикация в X.
OSS VRP е програмата на Google за възнаграждение за намерени уязвимости (bug bounty) за софтуера с отворен код, който компанията издава, включително проекти като Go, Angular и Protocol Buffers. Стартирана през 2022 г., тя плаща на изследователи по сигурността, които откриват и поверително съобщават за дефекти в този код, както и в настройките на хранилищата и компонентите на веригата за доставки.
Какво се промени
Докладите, подадени преди 1 октомври, не са засегнати. Компанията може също така все още да приема доклади за уязвимости в продукти чрез своята програма Cloud VRP за някои хранилища на Google Cloud, които засягат Cloud продукти.
„Ще продължим да преформатираме и работим върху този аспект на OSS VRP и се ангажираме да предоставим актуализация през първото тримесечие на 2027 г.“, добави тя.
Междувременно изследователите са помолени да изпращат констатациите си към други VRP програми или към програмата Patch Rewards, която плаща за подобрения на сигурността в проектите с отворен код на компанията. Таблицата с възнаграждения на страницата не посочва суми за уязвимости в продукти в нито едно от четирите нива на проекти в програмата, които се простират от OT0 (водещи) до OT3 (нисък приоритет).
Според обхвата на програмата, „всеки проблем в дизайна или внедряването в Google OSS, който причинява уязвимост в продукт, съществено засягаща поверителността или целостта на потребителските данни в софтуерни версии, използващи Google OSS, също е в обхвата на програмата“.
Критериите за приемане на тези доклади зависят от нивото на проекта и подкатегорията на уязвимостта.
Решението на Google идва след месеци на оплаквания от поддържащите проекти с отворен код и програми за възнаграждаване за открити уязвимости относно наплива от нискокачествени доклади за уязвимости, подпомогнати от AI, за които Help Net Security съобщи през май.