גוגל מקפיאה את תוכנית הבאג באונטי לקוד פתוח בגלל הצפת דיווחי AI

מה קרה

גוגל עצרה את תוכנית התגמולים לחולשות בקוד פתוח (Open Source Software Vulnerability Rewards Program) החל מה-1 באוקטובר, אחרי שמהנדסי החברה ומתחזקי הפרויקטים טבעו בגל דיווחים אוטומטיים שרובם המוחלט לא תקפים. לפי הודעת החברה ב-X ובאתר התוכנית, העדכון הבא צפוי רק ברבעון הראשון של 2027. בינתיים מפנים את החוקרים לתוכניות באג באונטי אחרות של גוגל.

המספרים מאחורי ההחלטה

הסיבה הרשמית: "עלייה משמעותית בהגשות אוטומטיות, שרובן הגדול אינן תקפות". בפועל, מדובר בדוחות שנוצרו על ידי מודלי שפה וכללו הזיות (hallucinations), חולשות שלא קיימות, וקטורי תקיפה מומצאים, ופרטי מימוש שגויים. הצוותים נאלצו לבזבז זמן סקירה על רעש במקום על ממצאים אמיתיים, עד שהעומס הפך בלתי נסבל.

מה זה אומר לחוקרים

מי שבנה זרימת עבודה שמסתמכת על LLM לייצר דוחות בקנה מידה, איבד את ערוץ ההכנסה הזה לפחות לחצי שנה הקרובה. גוגל לא ביטלה את התוכנית, רק הקפיאה אותה, אבל האיתות ברור: הגשות המוניות ללא ולידציה אנושית ייחסמו. חוקרים רציניים יצטרכו לחזור לשיטה הישנה, קריאת קוד, הבנת הקשר, והוכחת ניצול (PoC) שעובד.

התמונה הרחבה יותר

טק-קראנץ' דיווח כבר בשנה שעברה שמומחי אבטחה מזהירים מ"סלופ AI" שמאיים על מודל הבאג באונטי כולו. גוגל היא הקורבן הגדול הראשון שמודה פומבית שהמודל נשבר. חברות אחרות שמפעילות תוכניות דומות, מיקרוסופט, מטא, אפל, כנראה עוקבות מקרוב. השאלה היא לא אם יגיעו הקפאות נוספות, אלא מתי.

השורה התחתונה

הכלים האוטומטיים יודעים לייצר טקסט שנראה כמו דוח אבטחה, אבל לא יודעים לאמת אותו מול קוד רץ. עד שמישהו יבנה מערכת שמבדילה בין ממצא אמיתי להזיה ברמת דיוק מספקת, הצווארון הלבן של עולם האבטחה, חוקרים אנושיים, נשאר הגורם המגביל. גוגל פשוט הודתה בזה ראשונה.