Google heeft zijn Open Source Software Vulnerability Rewards Program, het initiatief dat beveiligingsonderzoekers betaalt voor het vinden van kwetsbaarheden in de open-sourceprojecten van het bedrijf, stopgezet. Google geeft de schuld aan een golf van geautomatiseerde, grotendeels nutteloze inzendingen. De pauze ging in op 1 oktober en Google zegt dat deelnemers in het eerste kwartaal van 2027 een update kunnen verwachten.
De aankondiging werd op X en op de eigen website van het programma geplaatst, waar Google een ongewoon botte verklaring gaf voor de afsluiting. "Deze pauze is te wijten aan een aanzienlijke toename van het aantal geautomatiseerde inzendingen, waarvan de overgrote meerderheid niet geldig is", aldus het bedrijf. Met andere woorden: de stroom aan rapporten is niet vertraagd; hij is verdronken in lawaai, en bijna niets van dat lawaai is menselijk. Voor meer informatie over hoe generatieve tools het software-ecosysteem hervormen, zie onze nieuwste AI-ontwikkelingen.
Wat het gepauzeerde programma feitelijk doet
Het Open Source Software Vulnerability Rewards Program, meestal afgekort tot OSS VRP, is het instrument van Google voor het belonen van externe onderzoekers die beveiligingsfouten ontdekken in de open-sourcecode die het bedrijf vrijgeeft en onderhoudt. In plaats van de beloningen te beperken tot de eigen producten van Google, breidt het programma uitbetalingen uit naar kwetsbaarheden die zijn ontdekt in open-sourceprojecten, op basis van de theorie dat de beveiligingsgemeenschap bugs sneller zal vinden als er een stimulans aan wordt verbonden.
Dat model werkt alleen als de signaal-ruisverhouding beheersbaar is. Een klein team van programmarecensenten moet elk binnenkomend rapport beoordelen, de geclaimde kwetsbaarheid reproduceren, de ernst ervan beoordelen en een beloning bepalen. Elk ongeldig rapport kost evenveel personeelstijd als een echt rapport, en in tegenstelling tot een echt rapport levert het niets op.
Ingenieurs verdrinken in hallucinerende bevindingen
De operationele realiteit achter de aankondiging van Google werd gedetailleerder gerapporteerd door Tom's Hardware, die ontdekte dat Google-ingenieurs en open-sourcebeheerders overweldigd waren door rapporten die ongeldig waren of regelrechte hallucinaties bevatten. Dat is de kenmerkende faalwijze van AI-ondersteund kwetsbaarheidsonderzoek: een taalmodel kan een rapport genereren dat er formeel correct uitziet – compleet met getroffen componenten, reproductiestappen en impactanalyse – terwijl het een bug beschrijft die simpelweg niet bestaat.
Het beoordelen van een dergelijke inzending is geen ontslag van tien seconden. Een recensent moet het rapport lezen, het geclaimde codepad controleren en verifiëren dat de fout nep is voordat hij deze afwijst. Vermenigvuldig dat met een stortvloed aan geautomatiseerde inzendingen en de economie van het hele programma stort in. Het premieprogramma, ontworpen om menselijke onderzoekers te versterken, wordt een denial-of-service-aanval tegen de recensenten waarmee het bedoeld was te werken.
De waarschuwing kwam een jaar te vroeg
De pauze kwam niet uit het niets. TechCrunch merkte op dat het vorig jaar rapporteerde over cybersecurity-experts die waarschuwden dat AI-slop een ernstig risico vormde voor bugbounty-programma's. De voorspelling was eenvoudig: omdat generatieve modellen het vrijwel gratis maakten om plausibel ogende technische documenten te produceren, zouden de kosten voor het indienen van een neprapport of rapport van lage kwaliteit tot nul dalen, terwijl de kosten voor het beoordelen ervan hetzelfde bleven.
Die asymmetrie speelt zich nu af bij een van de grootste technologiebedrijven ter wereld. Bug bounty-platforms in de hele sector hebben geëxperimenteerd met tegenmaatregelen – strengere indieningsvereisten, proof-of-work-vereisten, reputatiesystemen – maar Google heeft gekozen voor het meest botste instrument dat beschikbaar is: stop met het volledig accepteren van rapporten totdat het intakeprobleem is opgelost.
Wat gebeurt er in de tussentijd met onderzoekers
De boodschap van Google aan de deelnemers is om hun inspanningen een andere richting te geven. In de tussentijd worden onderzoekers aangemoedigd om de andere bugbounty-programma's van het bedrijf te overwegen, die betrekking hebben op de vlaggenschipproducten van Google en normaal lijken te werken. Aan de OSS VRP zelf is een update beloofd in het eerste kwartaal van 2027, hoewel Google niet heeft gezegd welke vorm die update zal aannemen. Nieuwe indieningsfilters, identiteitsverificatie, AI-ondersteunde triage of een opnieuw ontworpen beloningsstructuur zijn allemaal plausibele richtingen, maar het bedrijf heeft zich aan geen van deze publiekelijk gecommitteerd.
Voor legitieme veiligheidsonderzoekers is de bevriezing een reële kostenpost. Het werk aan een open source-kwetsbaarheid die vóór 1 oktober is ontdekt, bevindt zich nu in het ongewisse, en er is geen indicatie of Google rapporten die rond de sluitingsdatum zijn ingediend, zal honoreren of indieners zal vragen om opnieuw in te dienen na de herlancering.
Een stresstest voor open-sourceonderhoud
Het diepere verhaal hier gaat over de economische aspecten van open source-onderhoud. Vrijwillige beheerders hebben al moeite met het grote aantal functieverzoeken, pull-aanvragen en probleemrapporten die door menselijke gebruikers worden gegenereerd. Door AI gegenereerde inhoud verhoogt in één keer die basisbelasting op elk kanaal: bugrapporten, beveiligingsonthullingen, documentatievragen en codebijdragen kunnen nu allemaal op industriële schaal worden geproduceerd door actoren die geen belang hebben bij de daadwerkelijke gezondheid van het project.
Het antwoord van Google – het volledig sluiten van de deuren van een beveiligingsprogramma – is het soort maatregel dat achttien maanden geleden onevenredig zou hebben geleken. De eigen bewering van het bedrijf, dat de overgrote meerderheid van de geautomatiseerde inzendingen ongeldig is, suggereert dat het instroomprobleem sneller groeide dan welke filterbenadering dan ook kon absorberen. Of een herlancering in het eerste kwartaal van 2027 een werkbare signaal-ruisverhouding kan herstellen, zal veel zeggen over de vraag of bugbounty-programma's als instituut het tijdperk van het genereren van vrije tekst kunnen overleven.
Tot die tijd is de boodschap aan de veiligheidsonderzoeksgemeenschap frustrerend: de kwetsbaarheden zijn er nog steeds, de beloningen liggen theoretisch nog op tafel, maar Google accepteert momenteel geen hulp bij het vinden ervan.
---
Blijf AI een stap voorOntvang het laatste AI-nieuws, analyses en doorbraken – allemaal op één plek.
Lees meer AI-nieuws →
