Google временно приостановил приём отчётов об уязвимостях в рамках программы Open Source Software Vulnerability Rewards Program (OSS VRP). Причиной стала лавина автоматизированных отчётов, сгенерированных с помощью ИИ. Большинство таких заявок описывали баги, которых в реальности не существовало.

Программа OSS VRP была запущена для вознаграждения исследователей, находящих уязвимости в открытом ПО, от которого зависят многие продукты Google. Она охватывает сторонние библиотеки, фреймворки и утилиты, а не только собственные проекты компании. Участие в ней оплачивалось деньгами, поэтому поток желающих быстро заработать был стабильно высоким.

С массовым распространением генеративных ИИ-инструментов ситуация изменилась. Отчёты стало легко штамповать десятками и сотнями, не проводя реального анализа кода. Значительная часть таких заявок оказывалась либо выдуманной, либо тривиальной, либо вообще не относящейся к безопасности.

В итоге модераторы Google тратили ресурсы на проверку мусора вместо реальных уязвимостей. Это снижало эффективность программы и отвлекало специалистов от действительно важных задач. Компания решила взять паузу, чтобы перестроить процессы фильтрации.

Ожидается, что Google внедрит более строгие требования к отчётам или автоматические проверки на ИИ-генерацию. Для добросовестных исследователей это может означать дополнительные барьеры, а для программы — потерю части участников. Рынок bug bounty постепенно адаптируется к новой реальности, где ИИ-слоп становится системной проблемой.