گوگل در اقدامی قاطع و بحث‌برانگیز، پذیرش گزارش‌های آسیب‌پذیری محصول در برنامه «پاداش برای آسیب‌پذیری‌های نرم‌افزارهای متن‌باز» (OSS VRP) خود را به حالت تعلیق درآورد. این تصمیم که از مهرماه ۱۴۰۳ (اکتبر ۲۰۲۴) اجرایی شده است، واکنشی مستقیم به سیل عظیم گزارش‌های بی‌کیفیت و غیرمعتبری است که با استفاده از مدل‌های زبانی بزرگ (LLM) و ابزارهای خودکار تولید شده‌اند و سیستم‌های بازبینی امنیتی این شرکت را با اختلال جدی مواجه کرده‌اند.
ظهور دوران «آلودگی مصنوعی» در گزارش‌های امنیتی
برنامه OSS VRP گوگل که برای شناسایی و رفع نقص‌های امنیتی در اکوسیستم متن‌باز این شرکت طراحی شده بود، همواره بر پایه بررسی‌های دستی، دقیق و تخصصی محققان امنیتی استوار بود. با این حال، با ظهور و دسترسی گسترده به مدل‌های هوش مصنوعی، توازن این فرآیند به شدت برهم خورده است. بسیاری از کاربران اکنون با استفاده از ابزارهای تولید محتوا، به جای انجام تحلیل‌های عمیق روی کدهای منبع، اقدام به ارسال هزاران گزارش خودکار می‌کنند که عملاً فاقد محتوای فنی یا قابلیت بهره‌برداری هستند. این «هذیان‌های هوش مصنوعی» (AI Hallucinations) باعث شده تا مهندسان گوگل و مسئولان نگهداری پروژه‌های متن‌باز، بخش عمده‌ای از زمان ارزشمند خود را به جای رفع باگ‌های واقعی، صرف غربالگری گزارش‌های فاقد اعتبار کنند.
تأثیر تعلیق بر اکوسیستم و وضعیت برنامه‌های مشابه
این توقف که حداقل تا سه‌ماهه اول سال ۱۴۰۶ (۲۰۲۷ میلادی) ادامه خواهد داشت، تنها شامل «آسیب‌پذیری‌های محصول» (Product Vulnerability) می‌شود. طبق بیانیه رسمی، گزارش‌های مربوط به «زنجیره تأمین» (Supply Chain) همچنان پذیرفته می‌شوند. این رویداد در حالی رخ می‌دهد که پیش‌تر، جامعه توسعه‌دهندگان هسته لینوکس نیز از هجوم بی‌سابقه گزارش‌های CVE تولید شده توسط ابزارهای خودکار گلایه کرده بودند؛ گزارش‌هایی که با ایجاد نویز در جریان کاری توسعه، عملاً ظرفیت عملیاتی تیم‌های امنیتی را به نقطه اشباع رسانده‌اند. همچنین گزارش‌هایی مبنی بر تعلیق برنامه‌های مشابه در شرکت‌های بزرگ دیگر نظیر اینتل نیز شنیده می‌شود که نشان‌دهنده یک بحران ساختاری در مدیریت برنامه‌های Bug Bounty در عصر هوش مصنوعی است.
مشخصات و ابعاد تعلیق برنامه OSS VRP
- وضعیت فعلی: تعلیق پذیرش گزارش‌های آسیب‌پذیری محصول از مهرماه ۱۴۰۳.
- تاریخ بازبینی وضعیت: سه‌ماهه اول سال ۱۴۰۶ (۲۰۲۷).
- حوزه‌های مستثنی شده: گزارش‌های امنیتی مرتبط با «زنجیره تأمین» (Supply Chain) همچنان در چرخه بررسی قرار دارند.
- مسیر جایگزین: هدایت محققان به سمت سایر برنامه‌های پاداش‌دهی (VRP) و بخش Cloud VRP برای برخی مخازن خاص گوگل کلاود.
- دلیل فنی: هجوم نویزهای تولید شده توسط LLMها که منجر به اتلاف منابع انسانی در فرآیند Manual Triage شده است.
لزوم بازنگری در مدل‌های اعتماد و اعتبارسنجی
تحلیلگران معتقدند که صنعت فناوری اکنون با یک چالش پارادایم روبروست. مدل‌های سنتی «پاداش در ازای گزارش» (Bounty-for-Report) که بر اعتماد به محقق مستقل بنا شده بود، نیاز به تغییر به سمت «اثبات کار» (Proof-of-Work) یا سیستم‌های اعتبارسنجی سخت‌گیرانه‌تر دارد. گوگل احتمالاً در بازه زمانی تعلیق، به دنبال پیاده‌سازی سیستم‌های فیلترینگ خودکار مبتنی بر هوش مصنوعیِ مدافع (Defensive AI) است تا بتواند نویزهای تولید شده توسط ربات‌ها را پیش از رسیدن به میز تحلیلگران انسانی مسدود کند. این وضعیت به وضوح نشان می‌دهد که قدرتِ تولید محتوای ماشینی، بدون کنترل دقیق، می‌تواند مانعی جدی بر سر راه شفافیت و امنیت نرم‌افزارهای متن‌باز ایجاد کند.
