Besokallt az AI-tól a Google

​A Google felfüggesztette a nyílt forráskódú szoftverek biztonsági hibáinak feltárását támogató egyik programját. Az ok az AI előre törésében keresendő.
 

A Google 2022 augusztusában indította útjára az OSS VRP (Open Source Software Vulnerability Rewards Program) nevű hibavadász kezdeményezését, amelynek célja, hogy elősegítse az általa kezelt nyílt forráskódú alkalmazásokban, szoftverkönyvtárakban meglévő sebezhetőségek etikus módon történő feltárását. A validált hibabejelentésekért a vállalat 100-31.337 dollár közötti összeget fizetett a felfedezett biztonsági hiba veszélyességének függvényében. E hibavadász program keretében egyebek mellett olyan megoldásokban lehetett kutakodni sérülékenységek után, mint amilyen a Golang, az Angular, a Bazel, a Protocol Buffers és a Fuchsia.

Ahogy megannyi zárt forrású alkalmazás esetében, úgy a nyílt forráskódú megoldásoknál is megfigyelhető, hogy az AI mind nagyobb szerephez jut a sebezhetőségek feltárásában (és javításában). Ezt pedig a Google a saját bőrén tapasztalta meg, ugyanis az elmúlt időszakban az OSS VRP-t elkezdték elárasztani az AI-val automatizált módon készített hibabejelentések. A Google szerint ezek esetében nemcsak a mennyiséggel van gond, hanem azzal is, hogy az ilyen módon készített jelentések zöme téves, illetve nem felel meg a program szabályzatának.

A Google jelenleg az OSS VRP átmeneti felfüggesztéséről döntött, de elmondása szerint dolgozik a program új trendeknek megfelelő átalakításán. Azonban elképzelhető, hogy ennek részletei csak 2027 első negyedévében válnak publikussá, vagyis addig szünetelni fog ez a program. A 2026. október 1-ig beérkezett bejelentéseket a vállalat szakemberei még feldolgozzák és kezelik.

A Google az OSS VRP újraindításáig arra biztatja a hibavadászokat, hogy a többi VRP programjához csatlakozzanak, amelyek továbbra is változatlanul elérhetők, csakúgy mint a Google Patch Rewards Program.