Számos nagy technológiai vállalat működtet hibavadász (bug bounty) programot, amely pénzjutalmat ad azoknak a kutatóknak és szakembereknek, akik sebezhetőségeket vagy hibákat találnak és jelentenek szoftverekben vagy rendszerekben. Ezek a programok egyrészt ösztönzik a hibakeresést, másrészt segítenek a cégeknek időben észlelni és javítani a biztonsági réseket, miközben csökkentik annak az esélyét, hogy a felfedezett hibákat visszaélésre vagy kereskedelmi célú értékesítésre használják.
A Google azonban most átmenetileg felfüggesztette az Open Source Software Vulnerability Rewards Program nevű kezdeményezését. A döntés hátterében az áll, hogy a vállalatot özönlötték el valótlan, illetve mesterséges intelligencia által „hallucinált”, automatizált sebezhetőség-bejelentések — ezt a problémát több szaklap, köztük a Tom's Hardware is megemlítette. A TechCrunch szintén beszámolt az intézkedésről.
A Google ígérete szerint a programot egy „frissített” formában kívánja újraindítani 2027 első negyedévében. A cég azonban nem közölte, milyen konkrét módosításokat tervez bevezetni annak érdekében, hogy csökkentse az AI‑alapú hamis bejelentések számát, illetve hogy megerősítse a bejelentések hitelességének ellenőrzését.
A felfüggesztés rávilágít arra a szélesebb problémára, amelyet az automatizált eszközök és a generatív mesterséges intelligencia megjelenése okozhat a sebezhetőség-jelentési folyamatokban: miközben ezek az eszközök gyorsíthatják és hatékonyabbá tehetik a kutatást, egyúttal meg is terhelhetik a rendszereket hamis vagy pontatlan adatokkal, amelyek elvonják a figyelmet a valós problémák kezeléséről.
A Google döntése addig is azt jelenti, hogy a nyílt forráskódú projektekben felfedezett sebezhetőségek bejelentésére jelenleg nem vehetők fel új kifizetések ezen program keretében, amíg a cég vissza nem állítja és át nem alakítja a rendszert. A pontos határidő: a tervek szerint a program 2027 első negyedévében indul újra.
Miért fontos?
- A hibavadász programok alapvető szerepet játszanak a szoftverbiztonság fenntartásában, különösen a nyílt forráskódú ökoszisztémában.
- Az automatizált, AI‑alapú hamis bejelentések megnövelik a zajt és csökkenthetik a hatékonyságot, ami veszélyeztetheti a valódi sebezhetőségek időben történő feltárását.
- A Google intézkedése példaként szolgálhat más nagyvállalatok számára is, amelyek hasonló problémákkal néznek szembe, amikor generatív AI eszközöket használnak sebezhetőség-felderítésre vagy a bejelentési folyamatok automatizálására.
A vállalat eredményeinek és a program sorsának alakulásáról további részletek csak a Google jövőbeli közléseiből várhatók, különösen arról, hogy milyen mechanizmusokkal kívánják kiszűrni az automatizált, nem hiteles jelentéseket, és hogyan kívánják újraindítani a jutalmazási rendszert.
