Η τεχνητή νοημοσύνη υπόσχεται να επιταχύνει τον εντοπισμό κενών ασφαλείας, όμως η Google έρχεται αντιμέτωπη με τη σκοτεινή πλευρά αυτής της εξέλιξης: την παραγωγή πειστικών αναφορών για προβλήματα που στην πραγματικότητα δεν υπάρχουν. Η εταιρεία ανακοίνωσε την προσωρινή αναστολή μέρους του προγράμματος επιβράβευσης ερευνητών για λογισμικό ανοιχτού κώδικα (OSS VRP), επικαλούμενη έναν κατακλυσμό από άκυρες, αυτοματοποιημένες υποβολές.
Η παύση και οι εξαιρέσεις
Από την 1η Οκτωβρίου, η Google σταμάτησε να δέχεται νέες αναφορές για ευπάθειες προϊόντων μέσω του OSS VRP. Η απόφαση αυτή δεν επηρεάζει όλα τα προγράμματα της εταιρείας. Οι ήδη υποβληθείσες αναφορές, καθώς και εκείνες που αφορούν την εφοδιαστική αλυσίδα λογισμικού, συνεχίζουν να εξετάζονται κανονικά. Η εταιρεία σχεδιάζει να αναμορφώσει το πρόγραμμα και δεσμεύτηκε για μια νέα ενημέρωση το πρώτο τρίμηνο του 2027, χωρίς ωστόσο να ορίσει συγκεκριμένη ημερομηνία επανέναρξης.
Το φαινόμενο του «AI Slop»
Το πρόβλημα εστιάζεται στις αναφορές χαμηλής ποιότητας που παράγονται με εργαλεία AI, έναν όρο που περιγράφεται ως «AI slop». Παρόλο που η AI μπορεί να βοηθήσει στην οργάνωση των ευρημάτων, η Google τονίζει ότι η ευθύνη για την επαλήθευση παραμένει στον ερευνητή. Μια λεπτομερής περιγραφή δεν αποτελεί απόδειξη ότι το κενό ασφαλείας είναι υπαρκτό ή έχει ουσιαστικό αντίκτυπο.
«Τα αποτελέσματα των εργαλείων AI χρειάζονται επαλήθευση... ακόμη και ένα πραγματικό σφάλμα στον κώδικα μπορεί να έχει αμελητέα σημασία για την ασφάλεια», είχε επισημάνει η εταιρεία σε προηγούμενες αλλαγές των κανόνων της.
Διαφορετικές εμπειρίες στον κλάδο
Η πρόκληση των AI αναφορών δεν περιορίζεται στη Google, αλλά η επίδρασή της ποικίλλει στις πλατφόρμες bug bounty:
- HackerOne: Καταγράφει αύξηση σε «ψευδώς θετικά» ευρήματα και αντιμετωπίζει ως spam υποβολές με επινοημένες ευπάθειες ή ελλιπή τεκμηρίωση.
- Bugcrowd: Παρόλο που παρατηρείται αύξηση στον όγκο των υποβολών, ο ιδρυτής της Casey Ellis αναφέρει ότι η AI δεν έχει προκαλέσει μέχρι στιγμής σημαντική αύξηση στις αναφορές χαμηλής ποιότητας.
Με τις αμοιβές για έγκυρα ευρήματα να κυμαίνονται από 500 έως και πάνω από 30.000 δολάρια, το οικονομικό κίνητρο παραμένει ισχυρό, όμως η Google ξεκαθαρίζει ότι η ταχύτητα της AI δεν μπορεί να υποκαταστήσει την τεχνική ακρίβεια και την υπεύθυνη έρευνα.
