Автор: Влад Черевко Цікавлюся різного роду електронікою і технологіями з початку 2000-х. Регулярно стежу за технологічними новинами світу і сам пишу матеріали про це.
Категорії: Google, Кібербезпека
Google призупинила приймання повідомлень про вразливості своїх продуктів у межах Програми винагород за виявлення вразливостей у програмному забезпеченні з відкритим кодом (OSS VRP). Причиною цього став масовий наплив неякісних згенерованих ШІ звітів про помилки. Про цепишеTom’s Hardware.
Компанія повідомила про своє рішення в соцмережі X, зазначивши, що оновлення щодо подальшої роботи програми буде оприлюднене у першому кварталі 2027 року.
📢 PSA for open-source bug hunters
We are temporarily no longer accepting OSS VRP product vulnerability submissions. This does not impact OSS VRP supply chain reports, or any outstanding reports. As an alternative, we encourage you to find impact across our other VRP programs and submit there instead, or pursue the Patch Rewards Program.
Why is this happening? This pause is due to a significant rise in automated submissions, the vast majority of which are not valid. We will continue to reformat and work on this aspect of the OSS VRP and commit to giving an update in Q1 2027.
https://t.co/nQEkHVfbHS— Google VRP (Google Bug Hunters) (@GoogleVRP)October 1, 2026
📢 PSA for open-source bug hunters
We are temporarily no longer accepting OSS VRP product vulnerability submissions. This does not impact OSS VRP supply chain reports, or any outstanding reports. As an alternative, we encourage you to find impact across our other VRP programs and submit there instead, or pursue the Patch Rewards Program.
Why is this happening? This pause is due to a significant rise in automated submissions, the vast majority of which are not valid. We will continue to reformat and work on this aspect of the OSS VRP and commit to giving an update in Q1 2027.
https://t.co/nQEkHVfbHS
Призупинення стосується лише нових звітів про вразливості, поданих після 1 жовтня. Звіти, надіслані раніше, залишаються чинними. Google уточнила, що деякі повідомлення про проблеми у хмарних сервісах можуть і надалі прийматися через Cloud VRP, якщо вони стосуються репозиторіїв, які впливають на продукти Google Cloud. Також програма продовжує приймати звіти і щодо ланцюга постачання OSS VRP.
OSS VRP була створена для стимулювання незалежних дослідників до пошуку та відповідального розкриття вразливостей у проєктах Google з відкритим кодом. Зазвичай це вимагало значних зусиль та професійних навичок, однак із поширенням великих мовних моделей та автоматизованих AI-скриптів процес став дешевим і швидким, що призвело до лавини поверхневих і некоректних звітів.
Інженери Google та розробники відкритого коду повідомили, що отримували тисячі таких звітів, які часто містили вигадані помилки або непридатні “галюцинації”. Це змушувало витрачати багато часу на ручну перевірку коду замість виправлення реальних критичних проблем. Саме це перевантаження стало головною причиною призупинення програми.
Подібні ситуації вже виникали і в інших компаніях. Зокрема, розробники Linux ранішезаявляли, що були “повністю приголомшені” тим, що AI-інструменти виявляли рекордні 2000 вразливостей у кожному релізі ядра.
Intel такожпризупинила власну програму винагород, яка передбачала виплати до $100 тисяч за знайдену помилку. Хоча компанія офіційно не підтвердила, що причиною стали AI-звіти, експерти припускають саме такий фактор.
