Google frena su Bug Bounty: el spam de IA fuerza una reforma de las reglas

TVS News IA, supervisado editorialmente, presenta Google frena su Bug Bounty: el spam de IA fuerza una reforma de las reglas.

Google frena en seco su programa de Bug Bounty para código abierto. El motivo: la gran mayoría de los informes de errores enviados de forma automatizada no son válidos.

El programa, a través del cual los investigadores de seguridad podían reportar vulnerabilidades en software de código abierto a Google y cobrar premios por ello, se detiene por el momento. Según informa Golem.de.

¿Por qué Google detiene el programa?

Google justifica la medida con una clara observación de la práctica: la mayoría de los informes de errores que se crearon y enviaron de forma automatizada —es decir, con ayuda de herramientas de IA— resultaron ser inválidos al ser revisados. O bien no describen vulnerabilidades reales o simplemente no son reproducibles.

En concreto, se trata de aquellos informes que se montaron con ayuda de IA y se enviaron al programa de Bug Bounty —y que no superan el filtro del equipo de seguridad antes de poder generar un premio.

¿Qué cambia ahora?

Google no quiere cerrar el programa de forma definitiva, sino adaptar las reglas del juego. Según ha indicado la propia empresa, actualmente está revisando las normas para los envíos basados en IA. Aún no se ha revelado cómo serán exactamente los nuevos requisitos ni cuándo volverá a ponerse en marcha el programa.

Para los investigadores de seguridad que se apoyan en herramientas de IA en el análisis de código, esto significa que deben prepararse para requisitos más estrictos si en el futuro quieren volver a cobrar premios a través del programa.

¿Qué significa esto para la seguridad del código abierto?

Los programas de Bug Bounty son un canal importante para descubrir vulnerabilidades en el código abierto antes de que los atacantes las exploten. Si Google pausa su programa, por ahora faltará un incentivo para que los investigadores de seguridad externos busquen específicamente fallos en proyectos de código abierto mantenidos. Por ello, los detalles de la revisión de las reglas se esperan con gran expectación.

Estado actual: Google no ha facilitado por el momento más detalles sobre las nuevas reglas ni sobre el calendario.