Google временно заморозила программу вознаграждения за поиск уязвимостей в проектах с открытым исходным кодом из-за наплыва сгенерированных нейросетями отчётов.
https://kod.ru/google-priostanovila-bug-bounty-iz-za-ii
В официальном заявлении компании отмечается, что пауза связана со «значительным увеличением количества автоматических заявок, подавляющее большинство которых не соответствуют действительности». Из-за вала мусорных отчётов, сформированных генеративным искусственным интеллектом, специалисты Google и сторонние разработчики опенсорс-проектов оказались буквально перегружены проверкой ложных срабатываний и несуществующих багов.
Исследователям безопасности пока предложили обратить внимание на другие программы Google по поиску уязвимостей, которые продолжают функционировать в обычном режиме.
Ранее эксперты по кибербезопасности неоднократно предупреждали, что распространение генеративных моделей несёт серьёзную угрозу для программ Bug Bounty. Охотники за вознаграждениями начали массово привлекать языковые модели для автоматического сканирования кода и составления заявок в надежде на лёгкие выплаты. Однако на практике ИИ чаще генерирует убедительно звучащие выдумки, отнимающие рабочее время инженеров, а не указывает на реальные бреши в защите.
Оригинал
As of October 1, 2026, we are no longer accepting product vulnerabilities submitted to the OSS VRP. For some Google Cloud repos impacting Google Cloud products we may still accept reports covering product vulnerabilities through the Cloud VRP. We will continue to reformat and work on this aspect of the OSS VRP and commit to giving an update in Q1 2027. In the meantime, we encourage you to find impact across our other VRP programs and submit there instead, or pursue the Patch Rewards Program. This change does not affect product vulnerabilities submitted before October 1, 2026.
https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules#product-vulnerabilities