ИИ завалил Google отчетами о несуществующих уязвимостях — OSS VRP поставили на паузу

Google решила временно прекратить прием новых заявок в рамках OSS VRP — программы, через которую исследователи сообщают об уязвимостях в проектах компании с открытым исходным кодом.  О решении Google сообщила через X.

Автоматизация стала мешать поиску багов

Поводом прекращения стал не дефицит находок, а их избыток: автоматизированные инструменты на базе ИИ начали генерировать настолько много сомнительных отчетов, что их проверка стала отдельной проблемой для специалистов.

Изначально OSS VRP была рассчитана на работу с независимыми исследователями безопасности. Они самостоятельно анализировали код, находили потенциальные уязвимости и передавали Google подробные отчеты. Такой подход требовал времени и технической подготовки.

Генеративный ИИ заметно снизил порог входа в подобный анализ. Нейросеть может быстро просматривать большие объемы кода и формировать потенциальные сценарии атак. Проблема возникает на следующем этапе: далеко не каждое предположение модели подтверждается на практике.

В Google столкнулись с большим количеством заявок, в которых фигурировали несуществующие ошибки или выводы, построенные на неправильной интерпретации кода. Поэтому вместо поиска реальных угроз инженерам приходилось сначала отделять полезные сообщения от автоматически сгенерированного информационного шума.

Что произошло с уже отправленными отчетами

Приостановка не распространяется на все обращения. Google прекратила прием только новых заявок, отправленных с 1 октября. Сообщения, которые поступили до этой даты, продолжают обрабатываться в обычном порядке.

Некоторые направления также остались открытыми. Исследователи могут отправлять отчеты о проблемах в цепочке поставок, связанных с OSS VRP. Кроме того, Google сохраняет другие механизмы поиска и исправления уязвимостей, включая Cloud VRP и программу, в которой вознаграждение предусмотрено за подготовленные патчи.

Теперь Google предстоит решить обратную сторону автоматизации: как сохранить возможность быстро находить реальные уязвимости, не превращая систему вознаграждений в канал для массовой отправки неподтвержденных результатов. О том, как именно будет изменена OSS VRP, компания обещает сообщить в начале 2027 года.

Не пропустите интересное!

Підписывайтесь на наши каналы и читайте анонсы хай-тек новостей, тестов и обзоров в удобном формате!

Мы в Facebook Мы в Instagram Мы в Telegram