Google pausa su programa de recompensas por errores en código abierto tras un aumento de informes creados con IA

Google ha puesto oficialmente en pausa su Programa de Recompensas por Vulnerabilidades en Software de Código Abierto a partir del 1 de octubre, alegando una afluencia insostenible de envíos de seguridad automatizados y de baja calidad. El gigante tecnológico indicó que los responsables del mantenimiento de los proyectos necesitan un respiro frente al flujo constante de hallazgos no válidos, y confirmó que no emitirá una actualización oficial sobre el estado de la iniciativa hasta el primer trimestre de 2027.

El contenido automatizado de baja calidad abruma a los desarrolladores

La decisión de congelar esta iniciativa de recompensas para el código abierto responde a un marcado incremento en los envíos automatizados que, según señaló Google, en su gran mayoría carecían de validez. Los encargados de mantenimiento y los ingenieros de triaje responsables de revisar los informes de seguridad entrantes se enfrentaron a un alud de avisos sobre fallos de escasa calidad. Muchos de estos envíos contenían hallazgos falsos y alucinaciones generadas por inteligencia artificial, lo que obligó al personal técnico a dedicar un tiempo valioso a analizar evaluaciones de código que pareciendo verosímiles resultaban totalmente inexactas.

Esta pausa en las operaciones refleja las advertencias generales formuladas por especialistas en ciberseguridad, quienes han alertado de forma reiterada que las herramientas accesibles de IA generativa amenazan con saturar los flujos de trabajo tradicionales de recompensa por errores. Al facilitar el reporte masivo y automatizado de vulnerabilidades sin exigir apenas esfuerzo, estas herramientas colapsan los canales de código abierto y desvían la atención del personal especializado necesaria para resolver fallos de seguridad reales.

Otros canales de recompensa permanecen activos

Aunque este programa específico para el ámbito del código abierto se ha cerrado de forma temporal a nuevas solicitudes, Google confirmó que sus demás programas de recompensas por vulnerabilidades continúan plenamente activos. Se anima a los investigadores independientes en seguridad a seguir participando a través de estos otros canales establecidos mientras la empresa evalúa soluciones a largo plazo para gestionar los envíos automatizados.

Esta pausa de varios años pone de manifiesto el complejo desafío que afrontan las organizaciones para equilibrar la recepción de aportaciones abiertas de la comunidad con la realidad del ruido automatizado, subrayando la urgente necesidad de rediseñar los modelos de clasificación en la era de la IA generativa.

Ilustración editorial generada con IA; no es una fotografía documental.

Fuente: Google froze its open source bug bounty program due to a ‘significant rise’ in AI submissions