Google приостановила приём отчётов в open-source баг-баунти из-за потока недостоверных отчётов от ИИ

Google приостановила часть программы Open Source Software Vulnerability Reward Program (OSS VRP) — баг-баунти, в рамках которой компания платит сторонним исследователям за найденные уязвимости в своих open-source проектах. Пауза вступила в силу 1 октября 2026 года, в день объявления в X и на сайте программы; об этом написали Tom’s Hardware (3 октября) и TechCrunch (4 октября).

Причина

Google называет причиной автоматизацию: пауза связана со «значительным ростом автоматических заявок, подавляющее большинство которых недействительны». По данным Tom’s Hardware, инженеров Google и мейнтейнеров захлестнули тысячи некачественных отчётов, которые заявляли о найденных багах, но оказывались ошибочными, неэксплуатируемыми или попросту выдуманными моделью, — время уходило на проверку, а не на исправление реальных проблем.

Что именно приостановлено

• Новые отчёты об уязвимостях продуктов (дефекты кода, ошибки логики или архитектуры в публичных репозиториях Google).
• Отчёты, поданные до 1 октября, не затронуты.
• Отчёты о цепочке поставок (supply chain) по-прежнему принимаются, а часть проблем в репозиториях Google Cloud можно направить в Cloud VRP, сообщает Tom’s Hardware.
• Google обещает обновление в первом квартале 2027 года и предлагает исследователям другие свои программы.

Общая тенденция

Дешёвые большие языковые модели и автоматические сканеры сделали генерацию отчётов об уязвимостях почти бесплатной, и Google здесь не одинока. Tom’s Hardware напоминает, что мейнтейнеры ядра Linux недавно жаловались на перегрузку отчётами, найденными с помощью ИИ, а Intel приостановила программу с выплатами до $100 000 за уязвимость — хотя Intel не называла ИИ-заявки причиной.