Google suspendă temporar recompensele pentru buguri open-source
Google oprește până la sfârșitul anului primirea sesizărilor în programul OSS VRP, după un aflux de rapoarte generate cu ajutorul AI, dintre care multe sunt nevalide sau irelevante. Compania spune că va reevalua procesul și va anunța noutăți în primul trimestru din 2027.
Google a suspendat temporar primirea sesizărilor în programul său de recompense pentru vulnerabilități din proiectele open-source, după ce numărul rapoartelor generate automat a depășit capacitatea echipei de a le verifica. Potrivit companiei, marea majoritate a acestor sesizări sunt de slabă calitate și includ informații nevalide sau date halucinate despre vulnerabilități.
Programul, oprit până la sfârșitul anului
Măsura vizează Google Open Source Software Vulnerability Rewards Program (OSS VRP), inițiativa prin care compania încuraja cercetătorii independenți să raporteze responsabil probleme de securitate din proiectele sale open-source. Programul acoperea defecte de cod, erori logice și probleme de arhitectură din depozitele publice ale Google.
Suspendarea a intrat în vigoare la 1 octombrie, în ziua anunțului, și se aplică sesizărilor noi până la sfârșitul anului. Rapoartele despre vulnerabilități transmise înainte de această dată nu sunt vizate. Google a precizat că va folosi pauza pentru a reevalua procesul și a identifica soluții noi.
Rapoarte automate și verificări dificile
Identificarea și documentarea vulnerabilităților presupuneau, în mod tradițional, analiză manuală și competențe avansate. Apariția modelelor mari de limbaj și a instrumentelor automate de detecție a redus efortul necesar pentru redactarea rapoartelor și a fost urmată de un val de sesizări trimise cu verificări prealabile minime.
Potrivit materialului, multe rapoarte susțineau că au identificat probleme reale, dar conțineau date eronate sau rezultate care nu puteau fi reproduse. Verificarea lor a consumat timp pe care specialiștii Google l-ar fi putut aloca remedierii vulnerabilităților autentice și critice. Compania a descris volumul de alerte false și irelevante drept imposibil de gestionat în forma actuală.
Ce raportări rămân posibile
Oprirea OSS VRP nu se extinde la toate raportările de securitate. Google poate primi în continuare, prin programul Cloud VRP, rapoarte privind anumite depozite Google Cloud, atunci când acestea afectează produsele Google Cloud. De asemenea, suspendarea nu acoperă raportările despre lanțul de aprovizionare din cadrul OSS VRP.
Materialul menționează că și comunitatea Linux și Intel au luat măsuri în contextul sesizărilor automate: dezvoltarea unor drivere vechi a fost oprită, iar Intel a renunțat la recompensele bănești din programul propriu. Raportarea vulnerabilităților rămâne posibilă, dar fără compensație financiară.
Google urmează să comunice noutăți despre viitorul OSS VRP în primul trimestru al anului 2027.
Sursa: www.go4it.ro