Google, açık kaynak güvenlik ödül programında yeni bildirimleri durdurdu
AI destekli geçersiz raporların akını, Open Source Software Vulnerability Reward Program’de yeni zafiyet başvurularını geçici olarak durdurttu.
Google, Open Source Software Vulnerability Reward Program kapsamında yeni zafiyet bildirimlerini duraklattı. Şirket, bunun nedenini programı otomatik AI raporlarının doldurmasına ve bu raporların çoğunun geçersiz bulgular olmasına bağladı. Bu yoğunluk, mühendislerin ve bakımcıların gerçek sorunlara odaklanmasını zorlaştırdı.
Dondurma 1 Ekim’de yürürlüğe girdi. Bu tarihinden önce gönderilen raporlar kapsama girmiyor; OSS VRP supply-chain raporları da bu duraklamanın dışında tutuluyor. Google, araştırmacıların diğer bounty programlarına bakabileceğini söyledi ve ilk güncellemesini 2027’nin ilk çeyreğinde paylaşmayı planladığını belirtti.
Google mühendisleri ve bakımcıları, geçersiz ya da hallucinated raporların yarattığı yükle uğraşıyor. Bu yüzden inceleme sırası, gerçek açıkların peşinden gitmek yerine gelen bildirimleri ayıklamaya kayıyor. Güvenlik programlarında AI-generated bug reports arttıkça, doğrulama emeği de büyüyor.
Neden önemli
Açık kaynak güvenlik ödül programlarını kullanan araştırmacılar için yeni başvuru kanalı şimdilik kapalı. Ekipler için asıl fark, gelen her bildirimi okumak yerine artık yalnızca gerçekten işe yarayan raporlara alan açmaya çalışmaları. Bu, AI ile üretilen zayıf raporların güvenlik inceleme süreçlerinde yarattığı yükün pratik sonucu.
Kalsın mı, çizilsin mi?
Bu haber önemli mi, yoksa abartı mı? Başkalarının ne dediğini görmeden önce sen işaretle.
Kaynaklar
- Tom's Hardware
- TechCrunch
- BleepingComputer