Từ ngày 1 tháng 10, Google tạm ngừng nhận báo cáo lỗi sản phẩm trong Chương trình Thưởng Lỗ hổng Mã nguồn mở (OSS VRP), với lý do quá nhiều báo cáo không hợp lệ do AI tạo ra khiến các kỹ sư và người duy trì dự án mã nguồn mở bị quá tải. Nhóm thưởng lỗ hổng của Google thông báo quyết định này qua tài khoản chính thức, gọi đây là biện pháp "tạm thời", và cho biết sẽ công bố hướng đi tiếp theo của chương trình trước quý I năm 2027.
OSS VRP bao trùm các kho mã nguồn công khai thuộc Google, trong đó có những dự án được dùng rộng rãi như Golang, Angular và Bazel. Phần bị ngừng lần này là phần lớn nhất của chương trình: các lỗi mã, lỗi logic và lỗi thiết kế, được gọi chung là "lỗi sản phẩm".
Những gì vẫn còn hoạt động
Chương trình không đóng hoàn toàn. Theo Google, một số nhóm báo cáo không bị ảnh hưởng:
- các báo cáo gửi trước ngày 1/10 vẫn được xử lý như bình thường;
- báo cáo về chuỗi cung ứng trong khuôn khổ OSS VRP — ví dụ quy trình build bị xâm nhập hay gói phần mềm bị can thiệp — vẫn tiếp tục được nhận;
- lỗi trong các kho ảnh hưởng đến sản phẩm Google Cloud có thể chuyển sang nộp qua Cloud VRP;
- các chương trình thưởng khác và chương trình thưởng cho bản vá của Google không thay đổi.
Lý do Google đưa ra khá thẳng thắn: các nhà nghiên cứu dùng mô hình ngôn ngữ lớn và công cụ quét tự động để "tạo ra hàng loạt báo cáo có vẻ ngoài chỉn chu", nhưng phần lớn nội dung là do mô hình "tưởng tượng" hoặc mô tả vấn đề không hề ảnh hưởng đến an ninh thực tế. Thời gian của kỹ sư bị dồn vào việc bác bỏ các báo cáo đó, thay vì sửa lỗi thật. Google không công bố số liệu cụ thể về số lượng hay tỷ lệ báo cáo không hợp lệ trong lần này.
Lần thứ ba trong năm
Đây là lần thứ ba trong năm Google điều chỉnh quy định thưởng vì báo cáo do AI tạo ra, và mỗi lần mức xử lý lại nặng hơn lần trước. Tháng 3, Google từng công khai bày tỏ lo ngại về các báo cáo AI chất lượng thấp, khi đó phản ứng là bổ sung quy định và nhắc nhở người nộp báo cáo. Tháng 5, hai chương trình thưởng của Chrome và Android được cải tổ, rõ ràng ưu tiên báo cáo có minh chứng khái niệm (PoC) có thể tái lập, báo cáo không có PoC bị hạ trọng số. Chính OSS VRP cũng từng viết lại quy định trong năm để lọc báo cáo chất lượng thấp, nhưng không có hiệu quả rõ rệt. Đến tháng 10, Google ngừng nhận hoàn toàn.
Google không phải là bên đầu tiên không chịu được áp lực này. Dự án curl đã chấm dứt chương trình thưởng lỗ hổng của riêng mình từ đầu năm nay, sau khi người duy trì dự án nhiều lần công khai phàn nàn về các báo cáo lỗ hổng giả do AI tạo ra; Internet Bug Bounty, chương trình hướng tới hệ sinh thái mã nguồn mở, cũng từng tạm ngừng nhận báo cáo mới vì lượng báo cáo tăng vọt. Có thông tin cho biết người duy trì phân hệ mạng của Linux cũng xác nhận đang bị tràn ngập bởi các bản vá và báo cáo do AI thúc đẩy.
Điểm trớ trêu là chính Google cũng dùng AI để tìm lỗi. Theo các thông tin công khai, một tác tử AI của Google từng báo cáo 20 lỗ hổng thật trong năm ngoái. Cùng một loại công cụ, khi được dùng trong quy trình có con người kiểm tra lại thì mang lại kết quả thật, nhưng khi bị dùng hàng loạt chỉ để kiếm tiền thưởng, nó lại trở thành gánh nặng cho người duy trì dự án.
Ý nghĩa với người nộp báo cáo và người duy trì dự án
Với các nhà nghiên cứu độc lập sống nhờ tiền thưởng lỗ hổng, ảnh hưởng trực tiếp nhất là một nguồn thu nhập tạm thời bị cắt; báo cáo chuỗi cung ứng và Cloud VRP là những lối ra còn lại, và chính Google trong thông báo cũng hướng người nộp báo cáo sang các hướng này.
Với người duy trì dự án mã nguồn mở, việc một chương trình ở quy mô của Google cũng phải ngừng nhận báo cáo cho thấy chỉ thay đổi quy định hay nâng rào cản thôi không còn đủ để chặn báo cáo do AI tạo ra. Nhiều khả năng các nền tảng thưởng lỗ hổng khác sẽ tiếp tục tranh luận về việc có nên bắt buộc PoC hay phân hạng uy tín cho người nộp báo cáo. Bản cập nhật mà Google hứa công bố vào quý I năm 2027 sẽ là điểm đáng theo dõi: liệu chương trình mở lại như cũ, mở lại có giới hạn, hay gộp báo cáo lỗi sản phẩm vào một chương trình khác.
Nguồn tham khảo: thông báo chính thức từ Google Bug Hunters, trang quy định của Google OSS VRP, Hardware Busters, CocoLoop, PBX Science; phạm vi tạm ngừng và các danh mục được giữ lại theo thông báo chính thức của Google, mức thưởng theo trang quy định của chương trình.