Google sospende il bug bounty open-source a causa di falsi report generati dall’AI
L’aumento di segnalazioni AI non valide ha portato Google a fermare temporaneamente il suo programma OSS VRP per le vulnerabilità open-source.
Google ha annunciato la sospensione delle segnalazioni di vulnerabilità relative ai propri prodotti tramite l’Open Source Software Vulnerability Reward Program (OSS VRP), a seguito di un significativo aumento di report invalidi generati da sistemi AI. L’interruzione, effettiva dal 1° ottobre, non riguarda le segnalazioni precedenti né quelle che coinvolgono la supply chain o alcune vulnerabilità dei prodotti Google Cloud.
Il programma OSS VRP era nato per incentivare la ricerca indipendente di difetti di sicurezza nei repository open-source di Google, affidandosi tradizionalmente a un’analisi manuale e sofisticata del codice. L’avvento di large language models (LLM) e script automatizzati ha però facilitato la produzione di migliaia di segnalazioni di bassa qualità o completamente infondate.
Secondo fonti interne, il personale Google e i maintainer open-source si sono trovati sommersi da numerosi report privi di reale valore tecnico, spesso frutto di hallucinations degli algoritmi AI. Questo fenomeno ha distolto risorse preziose dalla risoluzione di vulnerabilità critiche, spingendo Google a rivedere il programma e a promettere aggiornamenti entro il primo trimestre 2027.
Situazioni analoghe sono state registrate anche nel mondo Linux e presso altri vendor come Intel, segno di una crescente sfida nell’era dei bug bounty supportati da AI.
