Google приостановил bug bounty из-за ИИ-отчетов

Прочитал у Google, что временно приостановили программу bug bounty для open source из-за резкого роста отчетов от ИИ — большинство из них описывали несуществующие уязвимости. Программа касалась ключевых проектов вроде Go, Angular, Bazel, а вознаграждения доходили до 31 тысячи долларов. Причина — автоматизированные отчеты, которые не проходят проверку, но перегружают команду.

Считаю, что это не просто технический сбой — это сигнал. Когда ИИ начинает генерировать ложные уязвимости в масштабах, это значит, что боты уже не просто ищут дыры, а пытаются «обмануть» системы. Это не про баги — это про атаку на процесс проверки.

На мой взгляд, главная угроза — не в том, что кто-то взломает сайт, а в том, что система, которая должна выявлять реальные уязвимости, перестаёт работать. Если даже Google не справляется, то что будет с малыми проектами, у которых нет ресурсов на фильтрацию?

У себя уже начал смотреть, какие отчёты приходят от клиентов. Если вдруг появится «доказательство» уязвимости, которое выглядит слишком шаблонно — проверяю вручную. Стараюсь не принимать ничего на веру, особенно если отчёт пришёл с патча, который не вписывается в логику работы системы.

Пока не вижу причин для паники, но и не могу игнорировать. В ближайшие дни поставлю в план проверку всех входящих отчётов по безопасности — особенно тех, что приходят через публичные программы. У клиентов на поддержке это будет закрываться заранее, пока не стало критично.