Google tạm dừng nhận báo cáo lỗ hổng sản phẩm cho OSS VRP vì làn sóng báo cáo AI vô hiệu

Tóm tắt nhanh

• Google thông báo tạm dừng nhận báo cáo lỗ hổng sản phẩm cho Open Source Software Vulnerability Reward Program (OSS VRP) từ ngày 1/10 do lượng lớn báo cáo AI vô hiệu.
• Công ty kêu gọi người tham gia thử các chương trình VRP khác như Cloud VRP và hứa cập nhật vào quý 1/2027.
• Việc tạm dừng không ảnh hưởng đến các báo cáo lỗ hổng đã nộp trước ngày 1/10.
• Google có thể vẫn chấp nhận báo cáo liên quan repo ảnh hưởng sản phẩm Google Cloud qua Cloud VRP.
• Chương trình OSS VRP vẫn nhận báo cáo chuỗi cung ứng (supply chain) và quyết định tạm dừng chỉ áp dụng cho báo cáo lỗ hổng sản phẩm.
• Google cho biết nguyên nhân là “sự gia tăng đáng kể” các báo cáo tự động do AI, phần lớn không hợp lệ hoặc là hallucination.
• Kỹ sư Google và người duy trì mã nguồn mở bị quá tải khi phải xác thực hàng nghìn báo cáo kém chất lượng thay vì sửa lỗ hổng thật.
• Tình trạng tương tự xảy ra với Linux (bị ngập báo cáo CVE do AI) và Intel đã từng đình chỉ chương trình trả tiền lỗi, theo các nguồn tin.
• Tom’s Hardware và TechCrunch ghi nhận việc AI và script săn lỗi tự động giảm chi phí phát hiện lỗ hổng và dẫn tới báo cáo ‘low-effort’ tràn ngập.
• Google sẽ tái cấu trúc chương trình trong thời gian tạm dừng để giải quyết vấn đề gửi báo cáo do AI gây ra.

Tóm tắt tự động bằng AI từ 3 nguồn, có thể có sai sót. Hãy kiểm chứng ở bài gốc.