گوگل برنامه پاداش‌یابی آسیب‌پذیری‌های نرم‌افزارهای متن‌باز (OSS VRP) خود را از اول اکتبر به طور موقت متوقف کرده و تصمیم‌‌گیری درباره ادامه فعالیت آن را به سه‌ماهه نخست سال ۲۰۲۷ موکول کرده است.
دلیل اصلی این تصمیم، افزایش شدید و چشمگیر گزارش‌های خودکاری است که توسط ابزارهای هوش مصنوعی تولید و ارسال شده‌اند. گزارش‌هایی که گوگل اعلام کرده اکثریت قریب‌به‌اتفاق آن‌ها فاقد اعتبار هستند.
این برنامه پیش از این به پژوهشگران امنیتی اجازه می‌داد در صورت کشف آسیب‌پذیری در پروژه‌های متن‌باز گوگل، پاداش دریافت کنند. اما با ورود گسترده هوش مصنوعی به حوزه کشف باگ، مهندسان گوگل و نگهدارندگان این پروژه‌ها با حجم عظیمی از گزارش‌های کم‌کیفیت یا کاملاً اشتباه مواجه شده‌اند.
مشکل زمانی حادتر می‌شود که بدانیم هر گزارش، حتی اگر نادرست باشد، نیازمند بررسی توسط متخصصان انسانی است. در نتیجه، زمان و انرژی کارشناسان امنیتی صرف بررسی گزارش‌هایی می‌شود که از ابتدا فاقد ارزش بوده‌اند.
این اتفاق نشان‌دهنده چالش بزرگ‌تری در حوزه امنیت سایبری است. کارشناسان پیش از این نیز هشدار داده بودند که تولید حجم بالایی از گزارش‌های کم‌کیفیت توسط هوش مصنوعی که اصطلاحاً به آن AI Slop گفته می‌شود، می‌تواند برنامه‌های باگ‌بانتی را فلج کند.
سایر شرکت‌ها و پلتفرم‌های باگ‌بانتی نیز با مشکلات مشابهی روبرو شده‌اند. برای مثال، پلتفرم Bugcrowd سیاست‌های خود را برای مقابله با این نوع گزارش‌ها تغییر داده و برنامه اپل نیز درگیر حجم زیادی از این گزارش‌های مشابه شده است.
اگرچه هوش مصنوعی ظرفیت بالایی در تحلیل کد و کشف سریع‌تر آسیب‌پذیری‌ها دارد، اما ارسال مستقیم خروجی آن بدون راستی‌آزمایی و بررسی انسانی، نتیجه‌ای معکوس به همراه داشته است. به جای تسریع روند کشف باگ‌های واقعی، متخصصان اکنون مجبورند در میان انبوهی از گزارش‌های نامعتبر به دنبال موارد مهم بگردند.
در مدت توقف این برنامه، گوگل از شرکت‌کنندگان خواسته است تا در سایر برنامه‌های پاداش‌یابی آسیب‌پذیری این شرکت مشارکت کنند. این توقف موقت نشان می‌دهد که تا چه حد سریع یک برنامه پاداش می‌تواند در اثر افزایش بی‌رویه گزارش‌های خودکار، به یک عملیات طاقت‌فرسای غربالگری تبدیل شود.
