Google заморозила баг-баунти для open source до 2027 года из-за ИИ-спама

Google приостановила приём отчётов об уязвимостях в рамках Open Source Software Vulnerability Rewards Program минимум до первого квартала 2027 года. Причиной стал поток недействительных отчётов, сгенерированных ИИ: инженеры и мейнтейнеры тратили время на тысячи ложных и выдуманных багов вместо реальных угроз. Программа Patch Rewards с выплатами до $15 000 и Cloud VRP продолжают работу.

• Приём отчётов об уязвимостях в OSS VRP приостановлен до I квартала 2027 года
• Причина — тысячи недействительных отчётов и галлюцинаций кода от ИИ
• Patch Rewards платит до $15 000 за подтверждённые патчи и продолжает работу
• curl закрыл баг-баунти на HackerOne, Intel убрала выплаты из своей программы