Google заморозил bug bounty из-за потока AI-отчётов

Google заморозил bug bounty из-за потока AI-отчётов

Google с 1 октября 2026 года приостановил свою программу вознаграждений за нахождение уязвимостей в открытом коде — OSS VRP (Open Source Software Vulnerability Rewards Program). Причина: инженеров и мейнтейнеров буквально завалили автоматически сгенерированными отчётами, большинство из которых оказались недействительными или содержали «галлюцинации» (выдуманные факты). Возобновление работы программы ожидается не раньше 2027 года.

Что случилось

Google приостановил свою программу OSS VRP 1 октября 2026 года после того, как тысячи AI-сгенерированных отчётов об ошибках переполнили систему. Малозатратные, нередко «галлюцинирующие» заявки перегрузили инженеров и мейнтейнеров.

«Эта пауза вызвана значительным ростом автоматизированных заявок, подавляющее большинство которых недействительны», — заявила компания.

По данным Tom’s Hardware, инженеры Google и мейнтейнеры открытых проектов оказались перегружены отчётами, содержащими недостоверную информацию и факты, выдуманные ИИ.

Что конкретно затронуто, а что — нет

Приостановка не является полным закрытием. Отчёты, поданные до 1 октября, продолжают обрабатываться. Заявки по цепочке поставок (supply chain) не затронуты. Определённые submission’ы, связанные с облачными продуктами, по-прежнему можно отправлять через отдельную программу Google Cloud VRP.

Тем временем участникам программы рекомендуется рассмотреть другие bug bounty программы Google.

Как работала программа и почему AI её сломал

OSS VRP выплачивала вознаграждения исследователям, которые находили уязвимости в открытом программном обеспечении Google. Но финансовое вознаграждение стало и ахиллесовой пятой: оно привлекло не только честных исследователей, но и тех, кто решил использовать ИИ для массовой генерации псевдо-отчётов.

Проблема bug bounty-программ в том, что они полагаются на ручную сортировку (manual triage): человек должен прочитать каждый отчёт, попытаться воспроизвести проблему и решить, является ли это реальной уязвимостью. Когда таких отчётов становятся тысячи — система ломается.

Это не только проблема Google

Google — далеко не единственная жертва AI slop в сфере кибербезопасности. Ситуация стала отраслевым трендом 2026 года.

timeline
    title Хронология кризиса AI slop в bug bounty (2025–2026)
    Конец 2025 : Первая волна AI-отчётов захлёстывает bug bounty программы
    Январь 2026 : cURL прекращает выплаты на HackerOne (более 95% заявок — AI-мусор)
    Март 2026 : HackerOne приостанавливает Internet Bug Bounty после роста заявок на 76% год к году
    Март 2026 : Google ужесточает критерии VRP в первой попытке сдержать поток
    Август 2026 : Apple вводит жёсткие лимиты на подачу отчётов из-за AI slop
    Октябрь 2026 : Google полностью замораживает OSS VRP до 2027 года

Этот шаг последовал за аналогичным решением Intel, заморозившего свою bug bounty программу, тогда как мейнтейнеры Linux сообщали о потоке фиктивных CVE-заявок.

AI кратно увеличил объём отчётов об уязвимостях, при этом доля реальных находок оставалась примерно на уровне 25%. HackerOne зафиксировал рост заявок на 76% год к году по состоянию на март 2026 года.

Apple ввела строгие новые лимиты на подачу заявок в свой bug bounty-портал, столкнувшись с потоком низкокачественных, AI-сгенерированных отчётов об уязвимостях — многие из которых описывали несуществующие проблемы безопасности.

Это не просто проблема Google. AI сломал экономику bug bounty: находить баги стало легко, а вот разобраться с потоком мусора — практически невозможно.

Что это значит для отрасли

Приостановка OSS VRP убирает формальную систему стимулов для поиска реальных уязвимостей. Пока Google перерабатывает программу, у мейнтейнеров открытого кода остаётся меньше внешних сигналов о потенциальных дырах в безопасности.

Для организаций, зависящих от этих проектов — государственных систем, медицинских платформ и корпоративных IT-стеков — риск возрастает, когда нарушаются петли обратной связи в сфере безопасности.

Это подчёркивает растущую проблему для всей технологической отрасли: автоматизированные инструменты заполняют программы безопасности некачественными отчётами, вынуждая компании переосмыслить процессы раскрытия уязвимостей.

Главный вопрос теперь в том, как индустрия перестроит механизмы верификации bug bounty-заявок, чтобы отделять реальные находки от AI-мусора. Google обещает поделиться ответом не позднее Q1 2027.