Google pausa los envíos a su programa de recompensas de código abierto tras una avalancha de informes inválidos generados por IA

Google ha pausado parte de su Open Source Software Vulnerability Reward Program (OSS VRP), el programa de recompensas que paga a investigadores externos por encontrar fallos de seguridad en sus proyectos de código abierto. La pausa entró en vigor el 1 de octubre de 2026, el mismo día en que Google la anunció en X y en la web del programa; Tom’s Hardware lo informó el 3 de octubre y TechCrunch el 4.

Por qué

Google culpa a la automatización: la pausa se debe a “un aumento significativo de envíos automatizados, la gran mayoría de los cuales no son válidos”. Según Tom’s Hardware, ingenieros de Google y mantenedores de código abierto se vieron desbordados por miles de informes de baja calidad que decían encontrar errores pero resultaban inválidos, no explotables o directamente alucinados, de modo que el tiempo se iba en verificar en lugar de corregir problemas reales.

Qué se ha pausado exactamente

• Los nuevos envíos de vulnerabilidades de producto (defectos de código, fallos de lógica o diseño en repositorios públicos de Google).
• Los informes enviados antes del 1 de octubre no se ven afectados.
• Los informes de cadena de suministro siguen aceptándose, y algunos problemas en repositorios de Google Cloud pueden enviarse al Cloud VRP, según Tom’s Hardware.
• Google promete una actualización en el primer trimestre de 2027 y remite a sus otros programas de recompensas.

Tendencia general

Los modelos de lenguaje baratos y los scripts automáticos de búsqueda de fallos han hecho casi gratuito generar informes, y el problema no es exclusivo de Google. Tom’s Hardware recuerda que los mantenedores del núcleo Linux se declararon recientemente desbordados por informes impulsados por IA y que Intel suspendió un programa que pagaba hasta 100.000 dólares por fallo, aunque Intel no atribuyó la decisión a los envíos de IA.