От 1 октомври 2026 г. Google спря да приема доклади за уязвимости в продукти по своята Open Source Software Vulnerability Rewards Program (OSS VRP). Причината, обявена от екипа на Google VRP в профила му в X и в правилата на програмата, е кратка и недвусмислена: „значително увеличение на автоматизираните доклади, огромната част от които не са валидни“. Новината беше потвърдена от TechCrunch на 4 октомври.
Какво точно е замразено
Паузата засяга само една част от програмата — докладите за уязвимости в самите продукти. Останалото продължава да работи:
- докладите за supply chain проблеми (компрометирани build процеси, подменени пакети) се приемат както преди;
- всичко, подадено преди 1 октомври, ще бъде обработено докрай;
- за част от хранилищата, които влияят на Google Cloud, остава Cloud VRP като алтернативен канал.
Google обеща да съобщи какво ще се случи с програмата в първото тримесечие на 2027 г. Дотогава ловците на бъгове са насочени към другите ѝ bug bounty инициативи.
OSS VRP тръгна през август 2022 г. и плащаше от 100 до 31 337 долара (приблизително 27 800 евро) според тежестта на пробива и значимостта на проекта. Най-високите суми бяха запазени за най-чувствителните хранилища — Bazel, Angular, Golang, Protocol Buffers и Fuchsia. Обхватът включваше актуалните версии на всичкия open source код в GitHub организациите на Google, включително настройките на хранилищата и зависимостите от трети страни.
Защо „автоматизирани доклади“ е проблем
Икономиката на bug bounty програмите разчита на асиметрия: изследователят харчи часове, за да намери един реален проблем, а инженерът го потвърждава за минути. Генеративните модели обръщат сметката. Изписването на убедително изглеждащ доклад — с CVE-подобно заглавие, стъпки за възпроизвеждане и дори proof-of-concept код — вече струва секунди и няколко цента токени. Проверката обаче остава човешка работа.
Резултатът е поток от доклади с халюцинирани функции, несъществуващи файлови пътища и уязвимости, които ги няма в кода. Всеки такъв доклад изяжда време на инженери от Google и на поддръжниците на съответните проекти, които в open source често са един или двама души в свободното си време. Когато истинската критична дупка чака на опашка зад петдесет AI измислици, цената на шума става измерима в риск.
„Автоматизиран доклад“ не означава непременно зъл умисъл. Част от потока идва от хора, които честно вярват, че моделът им е намерил нещо, и го препращат без никаква проверка.
Същият модел, различна общност
Решението на Google съвпада с почти идентичен спор в съвсем друга област — моддинга на игри. В края на септември социалните мрежи се напълниха с „vibe-coded“ смесици, направени с Claude Opus 5.5: Tarkov в Skyrim, World of Warcraft в Call of Duty: World at War, Spider-Man в Batman: Arkham City. Eurogamer описа реакцията на общността като открито враждебна.
Цитатите са показателни. Модърът kran27_, който сам признава, че ползва AI, нарича вълната „чист slop, в който няма нищо творческо“. Друг — discountmodder — предупреждава, че това може да е последният му проект, защото не иска да е част от „фабрика за AI slop“. Nexus Mods, най-голямата платформа за модове, още от 2023 г. съветва да се избягват такива инструменти без изрично разрешение за всички използвани ресурси — и именно затова тези смесици живеят в X, а не в каталога на сайта.
Спорът стигна и до PC портовете. Екипът на Banjo: Recompiled, воден от аржентинския разработчик DarioSamo, се разграничи от нов рекомпилиран Banjo-Tooie, чийто автор сам признава, че AI е генерирал значителни части от кода. Пред VGC проектът определи AI-генерираните портове като „състезание към дъното“ и „неуважително“ отношение към хилядите часове ръчна декомпилация. BanjoRecomp държи официална позиция без генеративен AI и отхвърля такива приноси.
Какво следва
Общото между двата случая не е самата технология, а асиметрията, която тя създава. AI генерира обем по-бързо, отколкото хората могат да го преглеждат — а прегледът е единственото, което прави един доклад за уязвимост или един мод полезен. Google избра най-прямото решение: затваря вратата, преглежда правилата и се връща след тримесечие. Други общности, като тази около AI-сглобените игри, още търсят своя отговор.
Очаквайте следващата стъпка да е не „AI или не“, а филтри: автоматична предварителна проверка, депозит при подаване на доклад или репутационни прагове. Ако Google въведе нещо такова до началото на 2027 г., останалите големи програми вероятно ще го копират.
Харесва ви? Отбележете ни и ще ни виждате по-нагоре в Google.
Предпочитан източник в Google