Google ziet zich genoodzaakt zijn bug bounty-programma voor open source-code te pauzeren, omdat de stortvloed aan ondermaatse AI-inzendingen te hoog is.
Google heeft zijn Open Source Software Vulnerability Reward Program (OSS VRP) tijdelijk gepauzeerd. De softwarereus zag zich daartoe gedwongen om te ontkomen aan een vloedgolf van bug-rapporten, gedreven door AI. Dat AI ze heeft opgesteld, is niet het probleem, de ondermaatse kwaliteit en de hallucinaties wel.
De pauze is per 1 oktober ingegaan en heeft geen betrekking op eerder ingestuurde kwetsbaarheden. Google zegt bovendien dat het niet per definitie alle rapporten zal weigeren. Voor sommige Google Cloud-producten kan het programma wel van kracht blijven.
Het doel voorbij
Het doel van OSS VRP was en is om onderzoekers te belonen die tijd en moeite investeren om problemen te vinden in het open source-ecosysteem van Google zelf. Dat vereist normaal het nodige manueel labeur. Met AI kan de zoektocht naar bugs sneller gaan, maar Google wordt nu geconfronteerd met een veelvoud aan AI gedreven ‘ontdekkingen’ die in feite nergens op slaan.
Slecht geschreven, onvolledige en gehalucineerde rapporten zijn niet altijd meteen als dusdanig herkenbaar. Zo moeten ingenieurs ook bij een foutief rapport code valideren, wat tijd is die ze niet kunnen inzetten om echte problemen op te lossen. Dat heeft Google genoopt het programma te pauzeren.
Google is niet de enige die geconfronteerd wordt met te veel AI-rapporten van lage kwaliteit. Het probleem treft de hele sector.