Google временно спря приемането на нови сигнали за уязвимости в продукти по програмата си за награди OSS VRP. Причината е рязък ръст на автоматично генерирани доклади, като компанията посочва, че преобладаващата част от тях са невалидни. Спирането важи за сигналите, подадени след 1 октомври 2026 г.
„Временно вече не приемаме сигнали за уязвимости в продукти по OSS VRP“, заяви екипът Google VRP в публикация в социалната мрежа X. От компанията уточниха, че мярката не засяга сигналите за веригата на доставки и вече подадените доклади.
Хиляди сигнали затруднили проверката
OSS VRP е създадена, за да насърчава независими изследователи да откриват и отговорно да съобщават за проблеми в проектите на Google с отворен код. Разпространението на големи езикови модели и автоматизирани инструменти за анализ обаче е направило подаването на сигнали по-бързо и евтино.
Според информацията, цитирана от „Межа“, инженери на Google и разработчици на софтуер с отворен код са получили хиляди доклади. В много от тях били описани измислени грешки или проблеми, които не могат да бъдат използвани на практика. Така значителна част от времето за анализ е отивала за проверка на невалидни твърдения, вместо за отстраняване на реални критични уязвимости.
Какво продължава да приема Google
Спирането не обхваща докладите за уязвимости във веригата на доставки по OSS VRP. Някои сигнали за проблеми в хранилища, които засягат продукти на Google Cloud, може да продължат да се приемат чрез Cloud VRP.
Компанията насочва изследователите и към други свои програми за награди за открити уязвимости, както и към Patch Rewards. Google обещава да публикува информация за следващия етап от OSS VRP през първото тримесечие на 2027 г.
Подобен проблем с автоматично генерирани сигнали е отчетен и при други технологични компании. Разработчици на Linux са описвали претоварване от голям брой предполагаеми уязвимости, а Intel е спряла собствената си програма за награди, без официално да потвърди, че причината са докладите, създадени с изкуствен интелект.
Източници: Межа
