Google suspende su programa de recompensas de código abierto tras una avalancha de reportes inválidos generados por IA

Google ha dejado de aceptar temporalmente informes de vulnerabilidad de nuevos productos a través de su Programa de Recompensas por Vulnerabilidad de Software de Código Abierto (OSS VRP) tras un aumento importante en los envíos automatizados que en su mayoría no eran válidos. La decisión no cierra todo el programa de recompensas por errores de código abierto.

Los informes de vulnerabilidad de la cadena de suministro permanecen dentro del alcance, y Google continuará manejando los informes de vulnerabilidad del producto presentados antes del 1 de octubre. Algunas vulnerabilidades en los repositorios de Google Cloud también pueden aceptarse a través del Programa de recompensas por vulnerabilidades de Google Cloud. Google identificó informes generados por IA que contenían condiciones desencadenantes incorrectas y "alucinaciones" sobre cómo se podría explotar una vulnerabilidad. Google Pauses Open-Source Bug Bounty Program El VRP OSS de Google cubre las últimas versiones de proyectos de código abierto mantenidos en repositorios públicos propiedad de organizaciones de Google.

La medida de Google pone de relieve un problema creciente en los programas de divulgación de vulnerabilidades. Google está dirigiendo a los investigadores hacia sus otros programas de VRP y su Programa de Recompensas de Parches.

Consultar publicación original ↗