Google остановил программу поиска багов из-за потока ИИ-отчётов

Google временно приостановил программу Vulnerability Rewards Program (VRP) для Open Source Software — она вознаграждает внешних исследователей за обнаружение уязвимостей в open source проектах Google — начиная с 1 октября 2026 года. По словам Google, они заметили значительный рост числа автоматических отчётов, большинство из которых были неверными или нерелевантными (например, отчёты, основанные на неверной информации, или полностью выдуманные уязвимости). Это создало много шума для инженеров и мейнтейнеров (людей, которые поддерживают и развивают open source софт), которым приходилось разбираться со слишком большим количеством отчётов. На время паузы они будут направлять участников к другим программам баг-баунти от Google. Они планируют перезапустить VRP в обновлённом виде в первом квартале 2027 года.

Это не означает, что с использованием ИИ-инструментов что-то не так. Это значит, что люди не проверяли свои отчёты как следует перед отправкой в Google. Если бы они вручную проверяли все отчёты перед отправкой, большинство невалидных, скорее всего, не попало бы в почтовый ящик инженера. Внедрение ручной проверки перед отправкой могло быть достаточно, чтобы предотвратить эту проблему без закрытия всей программы.