Google suspendió oficialmente la recepción de vulnerabilidades de producto en su Open Source Software Vulnerability Reward Program (OSS VRP), un programa de recompensas por bugs, por una avalancha de reportes inválidos hechos con IA. La empresa lo anunció en una publicación en X el 1 de octubre, invitó a los participantes a probar otros programas VRP y se comprometió a entregar novedades durante el primer trimestre de 2027, mientras rediseña esa parte del programa.
La suspensión rige desde el mismo 1 de octubre, el día del anuncio, y no afecta a las vulnerabilidades de producto enviadas antes de esa fecha. Google dijo que todavía podría aceptar reportes de vulnerabilidades de producto a través del Cloud VRP, "para algunos repositorios de Google Cloud que afecten productos de Google Cloud". Tampoco quedan afectados los reportes de cadena de suministro del OSS VRP.
En un caso parecido, Linux dejó de dar soporte a drivers de red antiguos por una avalancha de reportes de bugs falsos generados con IA.
¿Qué es el OSS VRP?
Es un programa de recompensas de seguridad de Google que paga a investigadores independientes por encontrar y reportar de forma responsable fallas en su ecosistema de código abierto. En la categoría de vulnerabilidades de producto, los reportes apuntan a defectos de código, errores de lógica o fallas de diseño dentro de los repositorios públicos de Google.
Ese trabajo solía ser manual, lento y exigía oficio. Los modelos de lenguaje y los scripts automáticos de búsqueda de bugs con IA bajaron casi a cero el costo y el esfuerzo, y el resultado fue una ola de reportes de bajo esfuerzo generados con IA.
¿Por qué Google cerró la puerta?
Según Tom's Hardware, los ingenieros de Google y los mantenedores de código abierto recibían miles de reportes mal escritos que decían encontrar bugs. En realidad eran alucinaciones, fallas inválidas o imposibles de explotar. El equipo terminaba validando código a mano en lugar de corregir las vulnerabilidades críticas reales, y eso llevó a la suspensión.
Otros casos en la industria
A comienzos de este mes, los mantenedores de Linux dijeron estar "completamente sobrepasados" por los reportes de CVE, después de que los cazadores de bugs con IA llevaran al kernel a un récord de 2.000 vulnerabilidades por versión.
Intel también suspendió su programa de recompensas, que pagaba hasta 100.000 dólares por falla. La empresa no confirmó oficialmente que la causa fueran los reportes generados con IA, aunque los expertos que cita Tom's Hardware sospechan que sí.
