{

“naslov”: “Google zamrznil nagradni program za odkrivanje ranljivosti v odprti kodi zaradi poplave AI-generiranih prijav”,

“podnaslov”: “Tehnološki velikan je bil prisiljen začasno ustaviti program OSS VRP, potem ko so ga preplavile avtomatizirane, z umetno inteligenco ustvarjene prijave napak, ki so obremenile ekipe za varnostni pregled.”,

“vsebina_html”: “

Google je začasno prekinil sprejemanje prijav v sklopu svojega programa za nagrajevanje odkritih ranljivosti v odprtokodni programski opremi – Open Source Software Vulnerability Rewards Program (OSS VRP) – potem ko so ekipe za varnostno ocenjevanje začele toniti pod množico neuporabnih poročil, ki so jih generirala orodja umetne inteligence.

Program OSS VRP je bil prvotno vzpostavljen z namenom spodbujanja etičnih hekerjev in varnostnih raziskovalcev k odkrivanju resničnih ranljivosti v odprtokodnih projektih, ki jih Google vzdržuje ali od njih odvisni. Med prizadetimi projekti so ključne infrastrukturne komponente, kot so Bazel, Angular, Golang, Protocol Buffers in številne druge knjižnice, ki se pogosto uporabljajo v produkcijskih okoljih po vsem svetu.

Težava, s katero se je Google soočil, ni nova, je pa v zadnjem obdobju dosegla kritično točko. Varnostni raziskovalci in posamezniki z omejenimi tehničnimi znanji so začeli izkoriščati velike jezikovne modele (LLM) za avtomatizirano generiranje varnostnih poročil, ki na prvi pogled izgledajo prepričljivo, a so v resnici površinska, napačna ali povsem izmišljena. Takšna poročila zahtevajo enako količino časa za pregled kot legitimna, kar je povzročilo zastoj v celotnem procesu triažiranja.

Situacija osvetljuje širši strukturni problem, s katerim se soočajo bug bounty programi v dobi generativne AI. Ko je strošek ustvarjanja poročila o ranljivosti skoraj nič, logika ekonomske spodbude za kakovostne prijave razpade. Programi, ki so bili zasnovani za nagrajevanje poglobljenega varnostnega dela, postanejo žrtve lastnega uspeha in dostopnosti.

Google ni razkril natančnega deleža AI-generiranih prijav, je pa nakazal, da je bil ta zadostno visok, da je ogrozi operativno zmogljivost ekipe. Podjetje je sporočilo, da bo čas zaustavitve programa izkoristilo za prenovo mehanizmov preverjanja pristnosti prijav, kar bo verjetno vključevalo strožje zahteve glede dokazil o odkritju ter morda uvedbo tehničnih filtrov za zaznavanje avtomatiziranih vnosov.

Za IT strokovnjake in varnostne ekipe, ki se zanašajo na OSS VRP kot del svoje strategije obvladovanja tveganj v dobavni verigi programske opreme, to pomeni začasno zmanjšanje obsega zunanjega varnostnega pregledovanja ključnih odprtokodnih komponent. Priporoča se okrepljeno interno varnostno testiranje ter povečana pozornost pri sledenju CVE objavam za projekte pod Googlovim okriljem.

Incident služi tudi kot opomin celotni industriji: bug bounty programi bodo morali v prihodnosti vgraditi mehanizme za razlikovanje med človeškim in AI-generiranim delom, sicer tvegajo, da postanejo neučinkoviti ravno v trenutku, ko je njihova vloga najpomembnejša.

“,

“vsebina_md”: “Google je začasno prekinil sprejemanje prijav v sklopu svojega programa za nagrajevanje odkritih ranljivosti v odprtokodni programski opremi – **Open Source Software Vulnerability Rewards Program (OSS VRP)** – potem ko so ekipe za varnostno ocenjevanje začele toniti pod množico neuporabnih poročil, ki so jih generirala orodja umetne inteligence.\n\nProgram OSS VRP je bil prvotno vzpostavljen z namenom spodbujanja etičnih hekerjev in varnostnih raziskovalcev k odkrivanju resničnih ranljivosti v odprtokodnih projektih, ki jih Google vzdržuje ali od njih odvisni. Med prizadetimi projekti so ključne infrastrukturne komponente, kot so **Bazel, Angular, Golang, Protocol Buffers** in številne druge knjižnice, ki se pogosto uporabljajo v produkcijskih okoljih po vsem svetu.\n\nTežava, s katero se je Google soočil, ni nova, je pa v zadnjem obdobju dosegla kritično točko. Varnostni raziskovalci in posamezniki z omejenimi tehničnimi znanji so začeli izkoriščati velike jezikovne modele (LLM) za avtomatizirano generiranje varnostnih poročil, ki na prvi pogled izgledajo prepričljivo, a so v resnici površinska, napačna ali povsem izmišljena. Takšna poročila zahtevajo enako količino časa za pregled kot legitimna, kar je povzročilo zastoj v celotnem procesu triažiranja.\n\nSituacija osvetljuje širši strukturni problem, s katerim se soočajo bug bounty programi v dobi generativne AI. Ko je strošek ustvarjanja poročila o ranljivosti skoraj nič, logika ekonomske spodbude za kakovostne prijave razpade. Programi, ki so bili zasnovani za nagrajevanje poglobljenega varnostnega dela, postanejo žrtve lastnega uspeha in dostopnosti.\n\nGoogle ni razkril natančnega deleža AI-generiranih prijav, je pa nakazal, da je bil ta zadostno visok, da je ogrozil operativno zmogljivost ekipe. Podjetje je sporočilo, da bo čas zaustavitve programa izkoristilo za **prenovo mehanizmov preverjanja pristnosti prijav**, kar bo verjetno vključevalo strožje zahteve glede dokazil o odkritju ter morda uvedbo tehničnih filtrov za zaznavanje avtomatiziranih vnosov.\n\nZa IT strokovnjake in varnostne ekipe, ki se zanašajo na OSS VRP kot del svoje strategije obvladovanja tveganj v dobavni verigi programske opreme, to pomeni začasno zmanjšanje obsega zunanjega varnostnega pregledovanja ključnih odprtokodnih komponent. Priporoča se **okrepljeno interno varnostno testiranje** ter povečana pozornost pri sledenju CVE objavam za projekte pod Googlovim okriljem.\n\nIncident služi tudi kot opomin celotni industriji: bug bounty programi bodo morali v prihodnosti vgraditi mehanizme za razlikovanje med človeškim in AI-generiranim delom, sicer tvegajo, da postanejo neučinkoviti ravno v trenutku, ko je njihova vloga najpomembnejša.”,

“kljucne_besede”: [“Google OSS VRP”, “bug bounty program”, “umetna inteligenca spam”, “odprtokodna varnost”, “AI-generirane ranljivosti”],

“izvir_url”: “https://www.bleepingcomputer.com/news/google/google-halts-open-source-bug-bounty-program-amid-ai-spam-surge/”,

“izvir_datum”: “2026-10-

Vir:
Originalna objava: 2026-10-06T04:02:37.512Z
Članek je pripravljen na osnovi tujega vira s pomočjo AI in prilagojen za slovenskega bralca.