Google השהתה קבלת דיווחים על פגמי מוצר ב-OSS VRP בגלל שטף דיווחים לא תקפים שנוצרו על ידי AI

Google השהתה את קבלת הדיווחים על פגמי מוצר בתוכנית פרסי הבאגים של קוד פתוח (OSS VRP). הסיבה היא שטף דיווחים לא תקפים שנוצרו על ידי AI. החברה הצהירה על כך בפוסט שפורסם ב-X ב-1 באוקטובר. היא הציעה למשתתפים לנסות תוכניות פרסים אחרות והבטיחה לפרסם עדכון לרבעון הראשון של 2027.

מה השתנה מ-1 באוקטובר

ההשהיה נכנסה לתוקף ביום ההכרזה ואינה חלת על דיווחים שנשלחו עוד לפני כן. לפי הצהרת Google, חלק מדיווחי פגמי המוצר עדיין עשויים להתקבל במסגרת Cloud VRP, אם מדובר במאגרים שפועלים על מוצרי Google Cloud. ההשהיה אינה חלת על דיווחים על שרשרת האספקה של OSS VRP.

למה נוצרה התוכנית

OSS VRP היא תוכנית פרסי באגים מתקדמת של Google לאבטחה, המתגמלת חוקרים עצמאיים על גילוי ודיווח אחראי על פגמים במערכת האקולוגית של קוד פתוח. במסגרת התוכנית, דיווחים על פגמי מוצר כוללים פגמי קוד, באגים לוגיים וטעויות עיצוב בקוד קיים במאגרים הציבוריים של Google. איתור פגמים כאלה היה בדרך כלל עבודה ידנית, מייגעת ודורשת מיומנות אמיתית.

מה AI שינה

התפשטותם של מודלים לשוניים גדולים (LLM) וסקריפטים אוטומטיים לאיתור באגים הורידה את העלות והמאמץ של עבודה זו כמעט לאפס. כתוצאה מכך עלה שטף של דיווחים באיכות נמוכה שנוצרו על ידי AI. לפי דיווחים, אלפי דיווחים שנכתבו בצורה גרועה העמיסו על מהנדסי Google ותומכי פרויקטי קוד פתוח. רבים מהם טענו שמצאו באג, אך בפועל מדובר בהזיה חסרת תועלת או לא תקפה לחלוטין. בסופו של דבר, רבים בזבזו זמן על בדיקת קוד ידנית במקום על תיקון באגים אמיתיים וקריטיים.

מקרים דומים בתעשייה

מצב דומה מזוהה גם בחלקים אחרים של התעשייה. בתחילת החודש תומכי Linux הצהירו שהם לא מצליחים להתמודד עם שטף דיווחי ה-CVE. סורקי באגים אוטומטיים שפועלים בעזרת AI העלו את מספר הבאגים בליבת Linux לשיא של 2,000 למהדורה. גם Intel השהתה את תוכנית הפרסים שלה, ששילמה עד 100,000 דולר על באג בודד. החברה לא נקבה באופן רשמי דיווחים שנוצרו על ידי AI כסיבה, אך מומחים חושדים דווקא בכך.