توقف برنامه باگ‌بانتی متن‌باز گوگل تا ۲۰۲۷ به دلیل گزارش‌های نامعتبر

گوگل به‌دلیل افزایش گزارش‌های نامعتبر تولیدشده با هوش مصنوعی، ارسال گزارش آسیب‌پذیری محصولات در برنامه OSS VRP را تا سال ۲۰۲۷ متوقف کرد.

به گزارش سرویس هوش مصنوعی تک‌ناک،گوگل در پستی رسمی در شبکه اجتماعی X در اول اکتبر اعلام کرد شرکت‌کنندگان می‌توانند در این مدت برنامه‌های دیگر VRP را بررسی کنند.

گوگل همچنین اعلام کرد تا سه‌ماهه اول سال ۲۰۲۷ درباره وضعیت این بخش از برنامه اطلاع‌رسانی خواهد کرد و در این فاصله، ساختار آن را بازطراحی و روی این بخش کار می‌کند.

این تعلیق از اول اکتبر، یعنی همان روز اعلام تصمیم گوگل، اجرایی شده است و گزارش‌های مربوط به آسیب‌پذیری محصولات که پیش از این تاریخ ارسال شده‌اند، همچنان مشمول بررسی خواهند بود.

گوگل اعلام کرده است که ممکن است برخی گزارش‌های آسیب‌پذیری محصولات را از طریق برنامه Cloud VRP نیز بپذیرد، البته این موضوع به برخی مخازن Google Cloud که بر محصولات Google Cloud تأثیر می‌گذارند محدود می‌شود.

این تعلیق شامل گزارش‌های مربوط به زنجیره تأمین نرم‌افزار در برنامه OSS VRP نمی‌شود. در اتفاقی مشابه، توسعه‌دهندگان لینوکس نیز به‌دلیل افزایش گزارش‌های جعلی تولیدشده با هوش مصنوعی، پشتیبانی از برخی درایورهای قدیمی شبکه را متوقف کردند.

افزایش گزارش‌های نامعتبر با کمک هوش مصنوعی

OSS VRP یک برنامه تخصصی باگ‌بانتی امنیتی گوگل است که به پژوهشگران مستقل امنیتی برای شناسایی و افشای مسئولانه نقص‌های امنیتی در اکوسیستم متن‌باز گوگل انگیزه می‌دهد.

در این برنامه، گزارش‌های مربوط به آسیب‌پذیری محصولات معمولاً نقص‌های کدنویسی، خطاهای منطقی یا ایرادهای طراحی در مخازن عمومی گوگل را بررسی می‌کنند. این فرایند در گذشته کاری دشوار و دستی بود و به مهارت و تخصص نیاز داشت.

با افزایش استفاده از مدل‌های زبانی بزرگ و اسکریپت‌های خودکار برای جست‌وجوی باگ، هزینه و زمان لازم برای این کار تقریباً از بین رفته است. در نتیجه، تعداد زیادی گزارش کم‌کیفیت و تولیدشده با هوش مصنوعی به برنامه ارسال شده است.

گزارش‌ها حاکی از آن است که مهندسان گوگل و نگه‌دارندگان پروژه‌های متن‌باز با هزاران گزارش ضعیف و نامعتبر مواجه شده‌اند.

این گزارش‌ها مدعی کشف باگ بودند، اما در واقع یا کاملاً بی‌اعتبار بودند یا آسیب‌پذیری‌هایی را مطرح می‌کردند که امکان سوءاستفاده از آنها وجود نداشت.

در نتیجه، مهندسان مجبور شدند زمان زیادی را صرف بررسی دستی کدها و اعتبارسنجی گزارش‌ها کنند، به‌جای آنکه روی رفع آسیب‌پذیری‌های واقعی و مهم تمرکز داشته باشند. همین وضعیت در نهایت به تعلیق برنامه منجر شده است.

بیشتر بخوانید: گوگل برای ساخت مراکز داده فضایی به ۱۸۰۰ پرتاب استارشیپ نیاز دارد

مشکل گزارش‌های جعلی در سراسر صنعت

مشکلی مشابه در بخش‌های مختلف صنعت فناوری نیز دیده شده است. توسعه‌دهندگان لینوکس اوایل ماه جاری اعلام کردند که به‌دلیل افزایش گزارش‌های کشف CVE توسط ابزارهای هوش مصنوعی، «کاملاً تحت فشار» قرار گرفته‌اند. این ابزارها تعداد آسیب‌پذیری‌های گزارش‌شده در هسته لینوکس را به رکورد ۲ هزار مورد در هر نسخه رسانده‌اند.

اینتل نیز برنامه باگ‌بانتی خود را که برای هر آسیب‌پذیری تا ۱۰۰ هزار دلار پاداش پرداخت می‌کرد، به حالت تعلیق درآورد.

این شرکت دلیل این تصمیم را به‌طور رسمی گزارش‌های تولیدشده با هوش مصنوعی اعلام نکرده است، اما برخی کارشناسان احتمال می‌دهند افزایش چنین گزارش‌هایی در این تصمیم نقش داشته باشد.

بیشتر بخوانید: دادگاه آمریکا: نمایش خلاصه‌های هوش مصنوعی گوگل تخلف نیست