El Programa de Recompensas por Vulnerabilidades de Software de Código Abierto de Google, que paga a investigadores por fallos encontrados en el ecosistema de código abierto de la empresa, fue suspendido el 1 de octubre después de que una avalancha de informes generados por IA ralentizara a sus revisores.¹

La explicación de la empresa fue contundente: «Esta pausa se debe a un aumento significativo de envíos automatizados, la gran mayoría de los cuales no son válidos».¹ Según informes, ingenieros y mantenedores de código abierto se vieron inundados de envíos que eran inválidos o estaban plagados de alucinaciones de IA, una carga de trabajo que convierte un programa de recompensas por vulnerabilidades en una operación de triaje.¹

La suspensión durará al menos hasta el próximo año, y Google promete una actualización en el primer trimestre de 2027. Mientras tanto, ha dirigido a los posibles investigadores hacia sus otros programas de recompensas por errores.¹

El episodio se produce tras advertencias previas de especialistas en ciberseguridad de que la «bazofia» generada por IA podría dañar los sistemas de recompensas por errores al sepultar informes legítimos bajo basura automatizada.¹ La decisión de Google sugiere que ese riesgo ya no es teórico: el volumen de envíos de baja calidad se ha vuelto lo bastante disruptivo como para detener todo un canal de recompensas de código abierto.

La presión no se limita a Google. Linux ha afrontado una oleada similar de informes problemáticos impulsados por IA, lo que subraya un conflicto más amplio para los proyectos de código abierto: la automatización puede ampliar el grupo de personas que reportan errores, pero también puede consumir la escasa atención humana necesaria para verificarlos.²

Para los investigadores de seguridad legítimos, la pausa elimina una vía de compensación. Para los mantenedores, es una admisión de que el actual canal de reportes no puede distinguir con la suficiente rapidez la señal del ruido sintético.²