Компания Google временно приостановила прием отчетов об уязвимостях в рамках программы вознаграждений для разработчиков открытого ПО. Ограничение продлится как минимум до первого квартала 2027 года. Причиной стал поток низкокачественных сообщений, созданных с помощью ИИ, из-за чего инженерам пришлось тратить значительные ресурсы на проверку тысяч несуществующих или нереализуемых угроз.
Автоматизированные инструменты массово направляли отчеты по проектам Go, Angular, Fuchsia и связанным с ними GitHub Actions. При этом Google продолжает принимать сообщения по репозиториям Google Cloud. Компания также сохранила выплаты в рамках Google Patch Rewards, где исследователи могут получить до $15 тыс. за подтвержденные исправления.
С аналогичными трудностями столкнулись и другие участники рынка. Разработчик curl закрыл свою программу на платформе HackerOne из-за наплыва автоматических заявок. В свою очередь, сопровождающие ядра Linux сообщили о тысячах фиктивных CVE. Использование ИИ для поиска ошибок привело к резкому росту нагрузки на команды, вынужденные отделять реальные угрозы от сгенерированного спама.
