Google призупинила прийом заявок про вразливості у програмі OSS VRP

Google з 1 жовтня призупинила прийом повідомлень про вразливості продуктів у межах програми винагород за пошук помилок Open Source Software Vulnerability Reward Program (OSS VRP). Рішення пов’язане з напливом недійсних звітів, створених із використанням штучного інтелекту, повідомляє Tom's Hardware.

Компанія оголосила про зупинення цього напряму програми 1 жовтня та порадила учасникам звернути увагу на інші програми винагород за виявлені вразливості. Google планує надати оновлення щодо формату цієї частини OSS VRP у першому кварталі 2027 року.

Що змінюється для дослідників

Обмеження стосується лише повідомлень про вразливості продуктів, поданих починаючи з 1 жовтня. Звіти, надіслані до цієї дати, воно не зачіпає. Також Google може й надалі приймати деякі повідомлення про проблеми в репозиторіях Google Cloud, які впливають на продукти хмарної платформи, через програму Cloud VRP.

Призупинення не поширюється на звіти щодо ризиків у ланцюгу постачання програмного забезпечення в OSS VRP. Ця програма заохочує незалежних дослідників виявляти та відповідально повідомляти про проблеми безпеки у відкритій екосистемі Google.

Наплив некоректних звітів

За даними видання, інженери Google та супроводжувачі відкритого коду отримували тисячі неякісних повідомлень, які заявляли про наявність помилок, але виявлялися недійсними або такими, що не могли бути використані для атаки. Значна частина таких звітів, за описом Tom's Hardware, була згенерована інструментами на основі великих мовних моделей та автоматизованими скриптами для пошуку помилок.

Через потребу вручну перевіряти такі звернення фахівці витрачали час, який міг бути спрямований на виправлення реальних критичних вразливостей. Видання також зазначає, що розробники Linux раніше повідомляли про перевантаження через хибні згенеровані ШІ звіти, а Intel призупинила власну програму винагород за пошук помилок.