Google pausa su programa de recompensas por vulnerabilidades en código abierto tras aumento significativo de envíos con IA
Google ha decidido suspender temporalmente su programa de recompensas por vulnerabilidades en software de código abierto, conocido como Open Source Software Vulnerability Rewards Program, debido a un aumento significativo en los envíos automatizados provenientes de inteligencia artificial. La decisión fue anunciada oficialmente el 1 de octubre y se espera que el programa permanezca en pausa hasta principios del año 2027.
El problema principal identificado por la empresa es la gran cantidad de informes recibidos que contienen errores o incluso «hallucinaciones» generadas por sistemas de IA, lo cual ha generado una sobrecarga para los ingenieros y mantenedores del código abierto. Estos informes, según Google, son mayormente inválidos y no representan verdaderas amenazas de seguridad.
En comunicados publicados tanto en X (anteriormente Twitter) como en el sitio web del programa, Google explicó que la suspensión se debe a una «significativa elevación de envíos automatizados», la mayoría de los cuales no son válidos ni relevantes para la detección real de vulnerabilidades. Esta situación ha llevado a una sobrecarga operativa que afecta la calidad del análisis de las reportadas.
La preocupación sobre el impacto de la inteligencia artificial en los programas de recompensas por vulnerabilidades no es nueva. En 2023, TechCrunch había señalado que expertos en ciberseguridad advertían sobre los riesgos que representa la utilización de herramientas de IA para generar reportes falsos o inexactos en estos programas. El caso de Google refuerza esta alerta, mostrando cómo incluso grandes empresas enfrentan dificultades ante este fenómeno.
Los investigadores y desarrolladores que participaban en el programa han sido informados de que, durante el periodo de suspensión, pueden explorar otras iniciativas de recompensa por vulnerabilidades ofrecidas por Google. Esto incluye programas relacionados con sus servicios en la nube, aplicaciones móviles y otros productos tecnológicos.
La decisión de Google también tiene implicaciones más amplias dentro del ecosistema de seguridad informática. Los expertos señalan que la creciente automatización en la identificación de vulnerabilidades puede llevar a una disminución de la calidad de los reportes, especialmente cuando se basan en modelos de lenguaje que generan información errónea o irrelevante.
Este incidente resalta la necesidad de establecer mecanismos de verificación más robustos en los programas de recompensas. La industria está empezando a reconocer que la IA puede ser una herramienta útil, pero también representa un riesgo si no se controla adecuadamente en contextos sensibles como la seguridad informática.
La comunidad de desarrolladores y expertos en ciberseguridad ha respondido con cautela a la noticia. Algunos expresan preocupación por la posible pérdida de incentivos para la identificación de vulnerabilidades reales, mientras otros destacan la importancia de mantener altos estándares de calidad en los reportes.
Además de Google, otras grandes compañías como Microsoft y Apple también han implementado programas similares de recompensas por vulnerabilidades. Sin embargo, el caso de Google podría servir como punto de referencia para otras organizaciones que buscan equilibrar la innovación tecnológica con la seguridad efectiva.
La suspensión del programa de Google no significa que haya abandonado el compromiso con la seguridad del código abierto. Más bien, representa una medida temporal para reevaluar y mejorar los procesos de revisión, con el objetivo de garantizar que solo los reportes válidos sean considerados en futuras iteraciones del programa.
Traducción y adaptación por Tecnología 365.
Fuente original: TechCrunch