Google obustavio program nagrada za propuste u otvorenom kodu
Google je 1. oktobra pauzirao Open Source Software Vulnerability Rewards Program, program nagrađivanja istraživača za pronalaženje ranjivosti u softveru otvorenog koda kompanije. Kao razlog naveden je značajan rast automatizovanih prijava, od kojih velika većina nije validna. Google je najavio da će novo obaveštenje objaviti u prvom tromesečju 2027.
Automatizovane prijave opterećuju proveru ranjivosti
Program je namenjen prijavljivanju bezbednosnih propusta u Googleovom otvorenom kodu. Međutim, porast prijava nastalih uz pomoć AI alata promenio je operativno opterećenje: Google je saopštio da je većina automatizovanih prijava nevažeća.
Tom's Hardware navodi da su Googleovi inženjeri i održavaoci open-source projekata bili preopterećeni izveštajima koji su bili nevalidni ili su sadržali halucinirane tvrdnje. Takve prijave mogu izgledati tehnički uverljivo, ali ne daju potvrdiv dokaz da ranjivost postoji.
Pauza ne znači ukidanje svih Googleovih programa nagrađivanja. Kompanija učesnike poziva da u međuvremenu razmotre druge bug bounty programe koje vodi.
Šta ova odluka znači za bezbednosne timove
Bug bounty program zavisi od sposobnosti da se prijava brzo reprodukuje, proceni njen uticaj i odredi prioritet za otklanjanje. Kada priliv neproverenih automatskih nalaza poraste, isti ljudi moraju da izdvoje više vremena za početnu trijažu umesto za rešavanje potvrđenih propusta.
Poseban problem su halucinirani nalazi. Jezički modeli mogu sastaviti izveštaj koji koristi ispravnu terminologiju i opisuje moguć scenario napada, ali bez stvarne ranjivosti u kodu. Zato kvalitetan izveštaj mora da omogući proveru navoda kroz jasne korake reprodukcije i dovoljno tehničkih dokaza.
Praktičan zaključak
Za organizacije koje primaju prijave ranjivosti, Googleova odluka pokazuje da automatizacija ne uklanja potrebu za disciplinovanom validacijom. Proces prijema treba da razlikuje proverljive nalaze od pretpostavki, kako bi se vreme stručnjaka zadržalo na incidentima koji zaista zahtevaju reakciju.