گوگل در چرخشی معنادار، برنامه پاداش آسیب‌پذیری نرم‌افزارهای متن‌باز خود (OSS VRP) را به دلیل سیل عظیم گزارش‌های تولید شده توسط هوش مصنوعی و اتوماسیون غیردقیق، به‌صورت موقت به حالت تعلیق درآورد؛ رویدادی که نشان‌دهنده چالش‌های جدید در تعامل میان ابزارهای جستجوی خودکار و تحلیل انسانی است.
پارادوکس موفقیت: وقتی ابزار، کارشناس را غرق می‌کند
در طول ماه‌های گذشته سال ۱۴۰۵ خورشیدی (۲۰۲۶ میلادی)، گوگل به شدت بر روی توانمندی‌های هوش مصنوعی در کشف آسیب‌پذیری‌های امنیتی سرمایه‌گذاری کرده است. ابزارهایی نظیر مدل PageBreak با شناسایی بیش از ۵۰۰ آسیب‌پذیری از نوع XSS در سرویس‌های تحت وب گوگل، به عنوان یک «تغییر دهنده بازی» (Game Changer) معرفی شدند. اما سکه امنیت در عصر هوش مصنوعی روی دیگری هم دارد: وقتی نرخ تولید گزارش‌های امنیتی به کمک مدل‌های زبانی بزرگ (LLM) و اسکریپت‌های اسکن خودکار به سطحی فراتر از توان بررسی تیم‌های امنیتی می‌رسد، زیرساخت پاسخگویی به گزارش‌ها دچار فروپاشی می‌شود.
چرا گوگل ترمز برنامه پاداش‌دهی را کشید؟
از مهرماه ۱۴۰۵، گوگل پذیرش گزارش‌های جدید در برنامه OSS VRP را به طور موقت متوقف کرد. دلیل این تصمیم، افزایش چشمگیر گزارش‌های اتوماتیک و بی‌کیفیتی است که در واقع «نویز» محسوب می‌شوند. بسیاری از این گزارش‌ها شامل موارد زیر هستند:
- توهمات هوش مصنوعی (AI Hallucinations) در تشریح نحوه بهره‌برداری از باگ‌ها.
- شناسایی خطاهای برنامه‌نویسی در کدهای مرده (Dead Code) یا بخش‌هایی از پروژه که هرگز اجرا نمی‌شوند.
- گزارش‌های فاقد اثر امنیتی واقعی (Low Security Impact) که تنها منجر به اتلاف وقت تیم‌های تریاژ (Triage) می‌شود.
گوگل اعلام کرده است که در حال بازنگری در ساختار این برنامه است و نتایج آن را در سه‌ماهه اول سال ۱۴۰۶ (Q1 2027) اعلام خواهد کرد.
تأثیر بر اکوسیستم امنیت اندروید
تنها محدود به پاداش‌ها نیست؛ گزارش‌های واصله از پروژه‌هایی مانند GrapheneOS نشان می‌دهد که حجم بالای آسیب‌پذیری‌های شناسایی شده توسط هوش مصنوعی، حتی در مدیریت وصله‌های امنیتی اندروید (Backporting) نیز چالش‌ساز شده است. این حجم انبوه از گزارش‌های «احتمالی» باعث شده است که تیم‌های مهندسی برای تشخیص میان «باگ واقعی دارای اولویت بالا» و «مثبت کاذب (False Positive) هوش مصنوعی» تحت فشار بی‌سابقه‌ای قرار بگیرند.
مشخصات و محدودیت‌های فعلی برنامه VRP گوگل
- وضعیت برنامه OSS VRP: تعلیق موقت
- تغییرات اعمال شده: توقف پذیرش گزارش‌های عمومی
- بخش‌های فعال: گزارش‌های زنجیره تأمین (Supply Chain) و برخی بخش‌های Cloud VRP
- هدف‌گذاری بازگشایی: سه‌ماهه اول سال ۱۴۰۶
- ابزارهای داخلی کلیدی: PageBreak AI agent
نتیجه‌گیری: ضرورت بلوغ در تحلیل خودکار
اتفاقی که برای گوگل رخ داده است، یک هشدار برای تمام صنایع است: داشتن ابزار قدرتمند برای تولید گزارش امنیتی، به معنای بهره‌وری نیست. تا زمانی که فرآیند ارزیابی و تأیید (Verification) به اندازه فرآیند تولید گزارش، هوشمند و خودکار نشود، سیستم‌های سنتی پاداش‌دهی دچار فرسودگی خواهند شد. گوگل اکنون ناچار است برای حفظ کیفیت امنیت در برنامه‌های متن‌باز خود، استانداردهای بسیار سخت‌گیرانه‌تری را برای پذیرش اثبات مفاهیم (PoC) توسط کاربران انسانی وضع کند.
