Google Restrânge Programul de Recompensare pentru Bug-uri Open Source pe Fondul unui Val de Rapoarte Automate Invalide

Google a implementat criterii mai stricte pentru programul său de recompensare a bug-urilor în open source, restrângându-i efectiv domeniul de aplicare ca răspuns la un val de trimiteri automate și invalide. Compania a invocat un „val fără precedent” de rapoarte care nu erau acționabile, ducând la o scurgere semnificativă de resurse și împiedicând identificarea unor defecte reale de securitate. Această mișcare subliniază provocările în gestionarea programelor de recompensare a bug-urilor la scară largă, atunci când se confruntă cu proliferarea instrumentelor de scanare a vulnerabilităților bazate pe AI sau automate.

Programul, care anterior accepta o gamă mai largă de trimiteri, se va concentra acum pe tipuri specifice de vulnerabilități și va necesita o verificare manuală mai detaliată. Scopul este de a se asigura că cercetătorii de securitate trimit constatări de înaltă calitate, bine documentate, care contribuie direct la îmbunătățirea posturii de securitate a software-ului open source. Această schimbare reflectă o preocupare tot mai mare în industrie cu privire la utilizarea abuzivă a instrumentelor automate în vânătoarea de bug-uri, care poate dilua eficacitatea eforturilor legitime de cercetare în securitate.

Această evoluție are implicații pentru comunitatea open source, putând necesita ca cercetătorii să investească mai mult timp în validarea manuală înainte de a trimite rapoarte. De asemenea, evidențiază jocul continuu de-a șoarecele și pisica între platformele de securitate și cei care încearcă să le exploateze sau să le testeze, fiind necesară o adaptare continuă din ambele părți pentru a menține practici de securitate eficiente.