Google приостановила прием отчетов об уязвимостях из-за наплыва ИИ-спама

Корпорация Google временно заморозила прием заявок на поиск уязвимостей по программе премирования разработчиков Open Source. Данная мера останется в силе как минимум до начала 2027 года.

Поводом послужил шквал фальшивых отчетов низкого качества, сгенерированных искусственным интеллектом. Инженерам и мейнтейнерам проектов пришлось задействовать колоссальные ресурсы на верификацию бесчисленных уведомлений, содержащих вымышленные либо заведомо невыполнимые бреши в защите. Боты и скрипты поставили рассылку таких тикетов на поток, затронув экосистемы Go, Angular, Fuchsia и сопутствующие GitHub Actions.

Впрочем, Google намерена провести реорганизацию инициативы, не отменяя при этом финансовые поощрения полностью. ИБ-эксперты по-прежнему могут рассчитывать на вознаграждения за верифицированные патчи в рамках Google Patch Rewards, где суммы достигают $15 тыс. Кроме того, продолжается обработка обращений, поступающих по репозиториям Google Cloud.

С аналогичным кризисом столкнулись и другие технологические инициативы. Создатель curl был вынужден свернуть аналогичную программу на платформе HackerOne из-за лавины автогенерируемых заявок, а мейнтейнеры Linux зафиксировали вал фейковых CVE. Иными словами, нейросети облегчили злоумышленникам сканирование кодовой базы, но кратно усугубили нагрузку на команды безопасности, вынужденные отсеивать информационный шум от реальных угроз.

Источник: iXBT