Компания Google приостановила прием отчетов о продуктовых уязвимостях в рамках программы OSS VRP. Решение вступило в силу 1 октября. Причиной стал поток некачественных заявок, созданных с помощью нейросетей. Подобные автоматизированные отчеты часто содержат ложные данные, что перегружает инженеров Google и мешает им заниматься устранением реальных критических угроз безопасности.
Ограничение не затрагивает отчеты по цепочкам поставок программного обеспечения. Google уточнила, что продолжит принимать сообщения об уязвимостях продуктов через программу Cloud VRP для ряда репозиториев, влияющих на сервисы Google Cloud. Все заявки, отправленные до 1 октября, будут обработаны в штатном режиме.
Проблема массовой рассылки сгенерированных ИИ отчетов становится системной для отрасли. Ранее разработчики ядра Linux столкнулись с рекордным показателем в 2 000 уязвимостей на один релиз из-за работы автоматизированных инструментов. Intel также приостановила свою программу вознаграждений, где выплаты за найденную ошибку достигали $100 000.
