Google ha annunciato una decisione destinata a far discutere nel mondo della sicurezza informatica: a partire dal 1° ottobre 2026, il colosso di Mountain View non accetterà più nuove segnalazioni di vulnerabilità di prodotto all'interno dell'OSS VRP (Open Source Software Vulnerability Reward Program). Si tratta del programma di bug bounty dedicato alle falle nel software open source, un pilastro della strategia di sicurezza di Google da anni.
Il ruolo dell'intelligenza artificiale
La motivazione ufficiale è tanto sorprendente quanto drammatica: l'intelligenza artificiale ha reso il sistema insostenibile. Con l'avvento di strumenti di AI generativa sempre più potenti, il numero di segnalazioni è esploso in modo esponenziale, molte delle quali generate automaticamente e di qualità discutibile. Questo ha creato un carico di lavoro enorme per i team di sicurezza, che si sono trovati a dover vagliare migliaia di report, spesso duplicati o poco significativi.
Google ha spiegato che l'IA ha anche facilitato l'individuazione di vulnerabilità da parte di attori malevoli, rendendo necessario un ripensamento complessivo del programma. La sospensione dell'OSS VRP non riguarda però tutti i bug bounty: restano attivi altri programmi, come quello per Chrome e Android, che continueranno a ricevere segnalazioni.
Conseguenze per i ricercatori
La decisione ha scatenato reazioni contrastanti nella community. Da un lato, c'è chi comprende la necessità di adattarsi a un panorama mutato; dall'altro, molti ricercatori di sicurezza temono che questa mossa possa ridurre le opportunità di guadagno e, soprattutto, rallentare l'individuazione di falle critiche nel software open source. Google ha promesso che annuncerà presto nuove modalità di collaborazione, ma per ora il futuro dell'OSS VRP resta incerto.
