Η Google ανέστειλε από την 1η Οκτωβρίου το πρόγραμμα επιβράβευσης ευπαθειών για το open-source λογισμικό της, αφού οι αυτοματοποιημένες υποβολές που παράγονται με AI αυξήθηκαν σημαντικά. Η εταιρεία υποσχέθηκε νεότερη ενημέρωση μέσα στο πρώτο τρίμηνο του 2027, ενώ στο μεταξύ παραπέμπει τους ερευνητές στα υπόλοιπα bug bounty προγράμματά της.
Όταν η αναφορά ευπάθειας γίνεται θόρυβος
Το Open Source Software Vulnerability Rewards Program είχε σχεδιαστεί για να ανταμείβει ερευνητές που εντόπιζαν πραγματικά προβλήματα ασφαλείας σε λογισμικό ανοιχτού κώδικα της Google. Η νέα πραγματικότητα, όμως, είναι ότι τα μεγάλα γλωσσικά μοντέλα μπορούν να παράγουν μαζικά υποψήφιες αναφορές, συχνά χωρίς επαρκή έλεγχο από τον άνθρωπο που τις υποβάλλει.
Σύμφωνα με την Google, η «συντριπτική πλειονότητα» των αυτοματοποιημένων υποβολών δεν είναι έγκυρη. Σύμφωνα με το Tom's Hardware, μηχανικοί της Google και maintainers έργων open source βρέθηκαν αντιμέτωποι με αναφορές που περιείχαν ανύπαρκτες ευπάθειες ή συμπεράσματα που έμοιαζαν με hallucinations των μοντέλων.
Γιατί το κόστος πέφτει στους maintainers
Μια κακή αναφορά δεν είναι απλώς ένα άχρηστο μήνυμα στα εισερχόμενα. Για να απορριφθεί με ασφάλεια, κάποιος πρέπει να αναπαράγει το υποτιθέμενο πρόβλημα, να ελέγξει τον κώδικα και να αποφασίσει αν υπάρχει πραγματικός κίνδυνος. Όσο αυξάνεται ο όγκος των χαμηλής ποιότητας submissions, τόσο λιγότερος χρόνος μένει για τις αναφορές που μπορεί πράγματι να προστατεύσουν χρήστες.
Το πρόβλημα είναι ιδιαίτερα έντονο στα έργα open source, όπου οι maintainers συχνά εργάζονται με περιορισμένους πόρους. Η AI μπορεί να μειώνει δραστικά το κόστος παραγωγής μιας αναφοράς για τον αποστολέα, δεν εξαφανίζει όμως το κόστος επαλήθευσης για την ομάδα που τη λαμβάνει.
Η παύση είναι σήμα σχεδιασμού κινήτρων
Η απόφαση της Google δεν σημαίνει ότι η χρήση AI στην έρευνα ασφαλείας είναι άχρηστη. Ένα μοντέλο μπορεί να βοηθήσει στην αναζήτηση κώδικα, στη διατύπωση ενός proof of concept ή στην ταξινόμηση ευρημάτων, αρκεί ο ερευνητής να ελέγχει όσα παραδίδει. Η δυσκολία βρίσκεται στη διάκριση ανάμεσα σε υποβοηθούμενη έρευνα και σε αυτοματοποιημένη παραγωγή αναφορών χωρίς ουσιαστική επικύρωση.
Η αναστολή δείχνει επίσης ότι τα bug bounty προγράμματα χρειάζονται νέα φίλτρα: ισχυρότερη απόδειξη αναπαραγωγής, όρια στις επαναλαμβανόμενες υποβολές και κίνητρα που επιβραβεύουν την ακρίβεια αντί για τον όγκο. Η Google ενθαρρύνει τους συμμετέχοντες να εξετάσουν τα άλλα προγράμματά της, αλλά η επιστροφή του συγκεκριμένου προγράμματος θα εξαρτηθεί από το αν μπορεί να προστατεύσει ξανά τον χρόνο των reviewers.
Η εξέλιξη αυτή είναι προειδοποίηση για ολόκληρη την αγορά ασφάλειας λογισμικού. Όταν η παραγωγή κειμένου και κώδικα γίνεται φθηνή, η σπάνια δεξιότητα δεν είναι πλέον να περιγράψεις ένα πιθανό bug· είναι να αποδείξεις με καθαρό και επαναλήψιμο τρόπο ότι το bug υπάρχει.