Google pausar buggjägarprogram efter AI-rapportflod
Google stänger tillfälligt ned sitt OSS VRP-program (ett belöningsprogram där externa forskare rapporterar säkerhetshål i öppen källkod) eftersom utvecklarna drunknar i AI-genererade rapporter av undermålig kvalitet – inklusive rena hallucinationer där AI:n helt enkelt hittat på sårbarheter som inte finns. Inte bara Google drabbas: Intel och flera andra techbolag har gjort samma sak, vilket börjar se ut som ett branschövergripande problem med hur AI missbrukar buggjägarprogram.
Djupdykning
Buggjägarprogram – eller "bug bounty"-program – är ett sätt för företag att låta externa säkerhetsforskare hitta och rapportera sårbarheter mot ersättning, ungefär som ett frilanssystem för cybersäkerhet. Problemet nu är att AI har sänkt trösklarna så kraftigt att vem som helst kan skicka in hundratals automatgenererade rapporter utan att egentligen förstå vad de rapporterar, vilket dränker de faktiska säkerhetsforskarna i brus. Det som missas i den här diskussionen är att Google inte stänger programmet permanent – de pausar det, vilket antyder att de letar efter ett sätt att filtrera AI-skräp från äkta fynd, troligtvis med hjälp av... mer AI. Det är lite som att anlita en vakthund mot hundar. Att Intel och Google nu båda dragit i handbromsen signalerar något större: de ekonomiska incitamenten i bug bounty-modellen är på väg att behöva byggas om från grunden, eftersom modellen förutsätter att ansträngning att hitta buggar är kostsam nog att hålla skräprapporterna borta.