Программе bug bounty нужны люди, которые сообщают об уязвимостях. Слишком много отчётов, особенно тех, что не выдерживают проверки, превращает полезный сигнал в очередь работы. Google приостановила свою программу вознаграждений за уязвимости в открытом ПО после роста автоматических заявок, большинство из которых, по её словам, оказались недействительными.
Пауза, а не закрытие
1 октября Google приостановила программу Open Source Software Vulnerability Rewards Program. Она вознаграждает исследователей, которые находят уязвимости в открытом программном обеспечении Google.
Компания заявила, что предоставит обновление в первом квартале 2027 года. До тех пор участникам рекомендуют рассмотреть другие программы bug bounty от Google.
Причину Google описала как «значительный рост» автоматических заявок и добавила, что подавляющее большинство из них недействительны. Отчёты также связывают с заявками, сгенерированными ИИ, включая утверждения с галлюцинациями. Как описано в сообщениях о паузе, это добавило нагрузки инженерам Google и мейнтейнерам открытого ПО: им пришлось проверять материалы, в которых не было реальных уязвимостей.
Когда объём перестаёт быть полезным
Программы bug bounty зависят от простого обмена: исследователи присылают достоверные находки, а компании вознаграждают отчёты, которые помогают устранять проблемы безопасности. Автоматизация может увеличить число заявок, но больше записей не обязательно означает больше полезных открытий. Кто-то всё равно должен их проверять.
Для команд безопасности это различие важно. Отчёт, который просто ошибочен, требует времени на оценку. Сфабрикованная или галлюцинированная находка к тому же затрудняет поиск отчётов, заслуживающих внимания. В заявлении Google нет цифр по объёму заявок и нет объяснения, как компания будет оценивать их до возобновления программы.
Пока практический сигнал для исследователей прост: программа для открытого ПО на паузе, а другие программы вознаграждений Google остаются вариантом. Компания назвала дату следующего обновления, а не подтверждённую дату возвращения программы. В исследованиях безопасности, как и при разборе входящих, большая куча ещё не означает прогресс.