La tecnológica Google ha decidido congelar temporalmente una parte de su programa de recompensas por vulnerabilidades, conocido como OSS VRP (Open Source Software Vulnerability Reward Program), debido a la abrumadora cantidad de reportes falsos creados con inteligencia artificial (IA). Estos informes, generados de forma masiva, han superado la capacidad de respuesta de los ingenieros de Google y los mantenedores de código abierto dentro de su ecosistema de aplicaciones.
La compañía ha anunciado que, de momento, no acepta «envíos de vulnerabilidades de producto del OSS VRP». Como alternativa, invita a los investigadores a buscar errores en otros programas VRP activos.
«Esta pausa se debe a un aumento significativo de envíos automatizados, la gran mayoría de los cuales no son válidos. Continuaremos reestructurando y trabajando en este aspecto del OSS VRP y nos comprometemos a dar una actualización en el primer trimestre de 2027», indicó Google a través de un mensaje en su cuenta de X (antes Twitter).
El programa OSS VRP premia a los investigadores que descubren fallos de seguridad, como defectos en el código o errores de lógica, dentro del software de código abierto de Google. Las recompensas económicas oscilan entre los 500 y los 31.337 dólares, dependiendo del tipo de vulnerabilidad y la relevancia del proyecto afectado.
De acuerdo con el medio Tom’s Hardware, los modelos de inteligencia artificial y los scripts automatizados para localizar fallos han reducido el trabajo necesario para hallar vulnerabilidades en el código abierto de Google y otras empresas. Sin embargo, también han disparado la cantidad de informes generados automáticamente, muchos de los cuales carecen de validez o son simplemente alucinaciones imposibles de explotar. Esto ha provocado que los ingenieros y mantenedores del código se vean saturados por miles de reportes inválidos.
Google no es la única compañía afectada por esta tendencia. Según Tom’s Hardware, Intel también ha suspendido su programa de recompensas por bugs, que pagaba hasta 100.000 dólares por cada vulnerabilidad detectada. Asimismo, los responsables del mantenimiento del kernel de Linux han manifestado estar completamente desbordados, enfrentando un récord de casi 2.000 vulnerabilidades por cada lanzamiento de una actualización, según un informe de Phoronix.
Fuente: Infobae