Google privremeno obustavlja OSS VRP zbog navale AI prijava

Google je privremeno obustavio prijem prijava u svoj program nagrađivanja bezbednosnih istraživača za open-source softver (OSS VRP). Razlog je značajan porast automatskih prijava, od kojih velika većina nije validna, saopštila je kompanija.

Program je od avgusta 2022. nagrađivao prijave ranjivosti u projektima koje Google održava, među kojima su Golang, Angular, Bazel, Protocol Buffers i Fuchsia, kao i u kritičnim nezavisnim komponentama i podešavanjima repozitorijuma. Nagrade su se kretale od 100 do 31.337 dolara.

Privremena obustava odnosi se samo na prijave ranjivosti u proizvodima unutar OSS VRP. Izveštaji o lancu snabdevanja i već podnete prijave nisu pogođeni. Prijave poslate pre 1. oktobra 2026. godine takođe nisu pogođene promenom. Istraživači i dalje mogu da šalju zakrpe kroz Google Patch Rewards Program, gde nagrade za ispravke sa velikim uticajem dostižu 15.000 dolara, kao i da prijavljuju ranjivosti u Google Cloud open-source repozitorijumima kroz Cloud VRP.

Google je naveo da radi na prilagođavanju OSS VRP i da će više informacija objaviti u prvom kvartalu 2027. godine.

Google nije prva kompanija koja je zbog navale nekvalitetnih AI izveštaja promenila program. U januaru je održavalac alata curl ukinuo svoj program na HackerOne, a Intel je sredinom septembra uklonio finansijske nagrade za prijave ranjivosti u svojim proizvodima na platformi Intigriti. Microsoft je u maju upozorio da AI alati povećavaju broj pronađenih ranjivosti, što podiže operativne zahteve.