Google ha deciso di sospendere temporaneamente il suo programma di ricompense per le vulnerabilità nei software open source, noto come OSS VRP. La motivazione è chiara: un aumento significativo di segnalazioni automatizzate, la cui grande maggioranza si è rivelata non valida. Il team Google VRP ha annunciato la misura con un post su X, precisando che la sospensione non riguarda le segnalazioni relative alla supply chain né quelle già in lavorazione.
La caccia ai bug è un'attività seria e complessa. In 15 anni, Google ha versato oltre 81 milioni di dollari ai ricercatori che hanno scovato falle nei suoi software. Solo ad agosto il colosso ha corretto più di 300 vulnerabilità nel browser, e oltre un centinaio nel mese successivo. Ora, però, i team di sicurezza passano più tempo a verificare l'attendibilità delle segnalazioni che a correggere i problemi reali.
L'ombra dell'AI sulle segnalazioni
Sebbene l'AI non venga menzionata esplicitamente, il collegamento è inevitabile. L'arrivo di strumenti basati sull'intelligenza artificiale ha alleggerito il lavoro dei ricercatori, ma ha anche generato una valanga di falsi positivi. Come riportato da Tom's Hardware, anche Intel ha bloccato il suo programma di bug bounty, mentre sul fronte Linux i manutentori segnalano che una parte significativa delle segnalazioni deriva da revisioni di codice effettuate con strumenti AI.
La sospensione è entrata in vigore il 1° ottobre e durerà fino a nuovo ordine. Google prevede di fare un nuovo punto sulla questione nel corso del primo trimestre 2027. Nel frattempo, i ricercatori possono ancora segnalare vulnerabilità attraverso gli altri programmi VRP o partecipare al programma di ricompense per le correzioni. La domanda resta aperta: Google e il resto del settore riusciranno a uscire da questa impasse?
