Il programma Open Source Software Vulnerability Rewards di Google, che paga i ricercatori per le falle individuate nell'ecosistema open source dell'azienda, è stato sospeso il 1° ottobre dopo che un'ondata di segnalazioni generate dall'IA ha rallentato i suoi revisori.¹

La spiegazione dell'azienda è stata diretta: «Questa sospensione è dovuta a un aumento significativo delle segnalazioni automatizzate, la stragrande maggioranza delle quali non è valida».¹ Secondo quanto riferito, ingegneri e manutentori open source sono stati sommersi da segnalazioni non valide o piene di allucinazioni dell'IA — un carico di lavoro che trasforma un programma di ricompense per vulnerabilità in un'operazione di triage.¹

La sospensione durerà almeno fino al prossimo anno, con Google che promette un aggiornamento nel primo trimestre del 2027. Nel frattempo, ha indirizzato i potenziali ricercatori verso gli altri suoi programmi di bug bounty.¹

L'episodio arriva dopo precedenti avvertimenti di specialisti della cybersicurezza secondo cui la «paccottiglia» generata dall'IA potrebbe danneggiare i sistemi di bug bounty, seppellendo le segnalazioni legittime sotto spazzatura automatizzata.¹ La decisione di Google suggerisce che questo rischio non è più teorico: il volume di segnalazioni di bassa qualità è diventato abbastanza dirompente da fermare un intero canale di ricompense open source.

La pressione non è limitata a Google. Linux ha affrontato un'ondata simile di problematiche segnalazioni guidate dall'IA, sottolineando un conflitto più ampio per i progetti open source: l'automazione può ampliare il bacino di persone che segnalano bug, ma può anche consumare la scarsa attenzione umana necessaria per verificarli.²

Per i ricercatori di sicurezza legittimi, la sospensione elimina una possibilità di compenso. Per i manutentori, è l'ammissione che l'attuale pipeline di segnalazione non riesce a distinguere abbastanza rapidamente il segnale dal rumore sintetico.²