↗️ Google приостановила прием отчетов об уязвимостях: компанию завалили ИИ-спамом
↗️ Google приостановила прием отчетов об уязвимостях: компанию завалили ИИ-спамом С 1 октября Google не принимает отчеты об уязвимостях в продуктах в рамках программы для открытого кода. Компания столкнулась с потоком автоматических отчетов, подготовленных с помощью ИИ, и большинство из них оказались недействительными. Google приостановила прием отчетов об уязвимостях в своих продуктах с открытым исходным кодом в программе вознаграждений OSS VRP. Компания объявила об этом в правилах программы на портале Google Bug Hunters. Новые заявки перестали принимать с 1 октября 2026 года. Причиной стал «значительный рост числа автоматических отчетов, подавляющее большинство которых недействительны». По словам Google, во многих присланных отчетах были галлюцинации ИИ, то есть описания несуществующих ошибок. Другие касались проблем, которые почти не влияют на реальную безопасность. Разработчикам приходилось тратить время на проверку этих заявок, а настоящих уязвимостей среди них почти не было. OSS VRP работает с августа 2022 года. Google платит исследователям, которые находят ошибки и сообщают о них. Программа включает язык программирования Go, веб-фреймворк Angular, система сборки Bazel, формат данных Protocol Buffers и операционная система Fuchsia. За одну находку платили от 100 до 31 337 долларов. Пауза затронула только часть программы. Отчеты о рисках в цепочке поставок, то есть об атаках через сторонние зависимости и инфраструктуру сборки, Google продолжает принимать. Заявки, отправленные до 1 октября, тоже рассмотрят. Компания предлагает исследователям другие каналы. В программе Patch Rewards платят до 15 000 долларов за исправления, которые повышают защищенность открытого кода. Уязвимости в открытых репозиториях Google Cloud, затрагивающие облачные продукты, можно отправлять через Cloud VRP. Google обещает переработать эту часть OSS VRP и рассказать о ее судьбе в первом квартале 2027 года. Подробнее на 7ooo.ru