Google ha annunciato la sospensione del programma di bug bounty dedicato all'open source fino al 2027. La decisione arriva dopo un aumento esponenziale di segnalazioni invalide generate da strumenti di intelligenza artificiale, che hanno reso impossibile la gestione efficiente delle vulnerabilità.
Un sistema paralizzato dalle segnalazioni false
Il programma, che offriva ricompense in denaro per la scoperta di falle di sicurezza nei progetti open source, è stato vittima del suo stesso successo. L'IA generativa ha permesso a chiunque di produrre report automatici e spesso privi di fondamento, sovraccaricando i team di sicurezza. Secondo Google, la maggior parte di queste segnalazioni si è rivelata invalida o duplicata, con un costo di verifica insostenibile.
Conseguenze per la sicurezza open source
La pausa fino al 2027 rappresenta un duro colpo per l'ecosistema open source, che dipende in larga misura da contributi esterni per identificare vulnerabilità critiche. Senza il programma di ricompense, molte falle potrebbero rimanere non segnalate, aumentando i rischi per milioni di utenti e aziende. Google ha dichiarato che lavorerà a nuovi sistemi di filtraggio basati sull'IA per distinguere i report autentici da quelli generati automaticamente, ma la strada è ancora lunga.
La vicenda solleva interrogativi più ampi sull'impatto dell'IA nel campo della sicurezza informatica: se da un lato può aiutare a scoprire bug, dall'altro rischia di inondare i canali di segnalazione con rumore di fondo. La sospensione di Google potrebbe spingere altre grandi aziende a seguire l'esempio, ridefinendo le regole del bug bounty per l'era dell'intelligenza artificiale.
