Google ha deciso di sospendere dal 1° ottobre il suo Open Source Software Vulnerability Rewards Program, il programma di bug bounty dedicato alle vulnerabilità nei software open source dell'azienda. La causa? Un numero insostenibile di segnalazioni automatiche e false generate dall'intelligenza artificiale, che hanno reso impossibile gestire il flusso di report in modo efficace.
Come funziona un bug bounty
Per chi non lo sapesse, i bug bounty si basano su un equilibrio delicato ma fondamentale: migliaia di ricercatori indipendenti cercano vulnerabilità, le segnalano e, se il problema è reale, ricevono una ricompensa. Un sistema virtuoso che negli anni ha permesso di scovare falle critiche in progetti open source utilizzati da milioni di persone. Ma cosa accade quando generare un rapporto apparentemente credibile diventa quasi gratuito e automatizzato? Il modello salta.
La pausa fino al 2027
L'intelligenza artificiale sta creando un problema serio: strumenti capaci di produrre report verosimili ma privi di sostanza stanno inondando i canali di segnalazione, costringendo i team di sicurezza a smaltire montagne di falsi positivi invece di concentrarsi sulle vulnerabilità autentiche. Google ha quindi scelto una pausa strategica: il programma resterà congelato almeno fino al primo trimestre del 2027, quando verrà fornito un aggiornamento sul suo futuro. Una decisione che segna un momento di svolta per l'intero settore della sicurezza open source, chiamato ora a ripensare le proprie regole per convivere con l'era dell'IA generativa.
