شرکت گوگل به‌طور رسمی اعلام کرده است که پذیرش گزارش‌های جدید در برنامه پاداش آسیب‌پذیری نرم‌افزارهای متن‌باز (OSS VRP) خود را تا پایان سال ۲۰۲۶ میلادی (پاییز ۱۴۰۵) به حالت تعلیق درآورده است. این تصمیم استراتژیک پس از آن اتخاذ شد که حجم انبوهی از گزارش‌های غیرمعتبر، ناقص و فاقد دقت فنی، که به‌طور گسترده توسط مدل‌های هوش مصنوعی تولید شده بودند، فرآیند ارزیابی و مدیریت این برنامه را با اختلال جدی مواجه کرد.
بحران گزارش‌های مصنوعی و چالش‌های احراز اصالت
ظهور مدل‌های زبانی بزرگ و ابزارهای تحلیل کد مبتنی بر AI، اگرچه پتانسیل شناسایی حفره‌های امنیتی را افزایش داده است، اما به عنوان یک «شمشیر دو لبه» عمل می‌کند. تحلیلگران امنیتی در ماه‌های اخیر با موجی از گزارش‌ها روبه‌رو شده‌اند که توسط ابزارهای خودکار تولید شده‌اند؛ گزارش‌هایی که در بسیاری از موارد دچار «توهم» (Hallucination) هستند یا با وجود اشاره به یک مسیر آسیب‌پذیر، فاقد شواهد فنی کافی (PoC) برای تایید ادعا هستند. طبق گزارش‌های منتشر شده در مهر ۱۴۰۵، گوگل تأکید کرده است که این توقف فعالیت، گزارش‌های مربوط به زنجیره تأمین نرم‌افزار (Supply Chain) را تحت تأثیر قرار نمی‌دهد و صرفاً برای بازنگری در ساختار پذیرش گزارش‌های محصولی اتخاذ شده است.
شواهد فنی؛ وقتی AI در تامین امنیت ناکام می‌ماند
تحقیقات انجام شده توسط تیم Off-by-1 Labs متعلق به شرکت 1Password نشان می‌دهد که تکیه صرف بر هوش مصنوعی برای کشف و رفع آسیب‌پذیری‌ها نتایج مطلوبی به همراه ندارد. طبق این پژوهش، حدود نیمی از اصلاحیه‌های (Patch) پیشنهاد شده توسط AI، قادر به بستن کامل مسیر نفوذ نبوده‌اند و در حدود ۲ درصد موارد، مدل‌های هوش مصنوعی نه‌تنها حفره را مسدود نکرده‌اند، بلکه مسیرهای نفوذ جدیدی را نیز به کدهای منبع اضافه کرده‌اند. این عدم درک «زمینه» (Context) در کد منبع، ریشه اصلی شکست گزارش‌های خودکار است.
تجربه تلخ curl و لینوکس: درس‌هایی برای آینده
گوگل اولین نهادی نیست که با این معضل دست‌وپنجه نرم می‌کند. پیش از این، تیم توسعه‌دهنده ابزار محبوب curl نیز در اوایل سال ۲۰۲۶ میلادی (زمستان ۱۴۰۴) به دلیل حجم غیرقابل کنترل گزارش‌های جعلی، برنامه پاداش‌دهی خود در پلتفرم HackerOne را به‌طور کامل تعطیل کرد. همچنین، لینوس توروالدز، نگهبان اصلی هسته لینوکس، در اردیبهشت ۱۴۰۵ اعلام کرد که لیست پستی امنیت لینوکس به دلیل هجوم گزارش‌های تکراری و بی‌فایده تولید شده توسط AI، به مرز «عدم مدیریت‌پذیری» رسیده است.
جزئیات فنی تعلیق برنامه OSS VRP
- وضعیت: توقف پذیرش گزارش‌های آسیب‌پذیری محصول (Vulnerability Reports).
- زمان‌بندی: از مهر ۱۴۰۵ تا پایان سال ۲۰۲۶ میلادی.
- محدوده: گزارش‌های امنیتی مرتبط با نرم‌افزارهای متن‌باز (OSS).
- استثنائات: گزارش‌های مربوط به آسیب‌پذیری‌های زنجیره تأمین (Supply Chain) همچنان بررسی می‌شوند.
- اقدام جایگزین: هدایت محققان به برنامه‌های VRP دیگر گوگل یا برنامه «Patch Rewards».
چشم‌انداز آینده و نتیجه‌گیری
گوگل اعلام کرده است که در سه ماهه اول سال ۲۰۲۷ (زمستان ۱۴۰۵) با ارائه ساختاری اصلاح‌شده و احتمالا معیارهای سخت‌گیرانه‌تر برای تأیید گزارش‌ها، به این عرصه بازخواهد گشت. برای اکوسیستم‌های متن‌باز، این یک زنگ خطر جدی است که نشان می‌دهد تا زمانی که «نظارت انسانی» (Human-in-the-loop) در فرآیند غربالگری گزارش‌های امنیتی نقش پررنگ نداشته باشد، هوش مصنوعی می‌تواند به جای کمک به امنیت، به عاملی برای فرسایش منابع و اتلاف وقت تیم‌های پاسخ‌دهنده به حوادث امنیتی تبدیل شود.
