Google приостановила программу bug bounty из-за резкого роста ИИ-отчётов об уязвимостях

Главный смысл: Google приостановила программу выплат за уязвимости в открытом ПО (Open Source Software Vulnerability Rewards Program, OSS VRP) из-за наплыва сгенерированных ИИ невалидных отчётов. Прецедент показывает, как массовая генерация мусорных заявок способна парализовать работу служб безопасности и мейнтейнеров открытого кода.

• Сроки и официальная причина. Приём заявок остановлен с 1 октября 2026 года, а вернуться к обновлению статуса программы компания пообещала в первом квартале 2027 года. В Google заявили, что вынуждены пойти на паузу из-за резкого роста числа автоматизированных заявок, подавляющее большинство которых оказалось ложными.
• Перегрузка инженеров галлюцинациями. По данным издания Tom’s Hardware, инженеры компании и кураторы открытых репозиториев были перегружены обращениями с фиктивными данными и галлюцинациями языковых моделей, что отнимало ресурсы у разбора реальных угроз.
• Масштаб и альтернативы. Как отмечает TechCrunch, эксперты по безопасности предупреждали об угрозе «ИИ-шлака» для баг-баунти ещё годом ранее. Остановка затронула только направление открытого исходного кода; прочие программы выплат за уязвимости Google продолжают действовать, и исследователям предложено обращаться к ним.

Что дальше:
Случай вынудит индустрию пересмотреть правила публичных баг-баунти и ввести барьеры против автоматического спама. Пока не подтверждено, какие фильтры внедрит Google к 2027 году: обязательный рабочий эксплойт (PoC), репутационный ценз или собственные алгоритмы отсева. Стоит следить, последуют ли этому шагу сторонние площадки вроде HackerOne, и не приведёт ли заморозка к падению безопасности открытых проектов.