Google sospende il programma open source per l’aumento di segnalazioni generate dall’AI

Dal 1 ottobre Google ha sospeso l’Open Source Software Vulnerability Rewards Program per l’impennata di invii automatici legati all’AI; un aggiornamento è previsto nel primo trimestre del 2027¹.

Il programma ricompensava i ricercatori che trovavano vulnerabilità nel software open source dell’azienda. La comunicazione della pausa è arrivata con un post su X e una nota sul sito ufficiale del programma¹.

Motivo dichiarato: “a significant rise in automated submissions, the vast majority of which are not valid”. L’azienda parla esplicitamente di crescita marcata delle segnalazioni automatizzate e di qualità insufficiente. Da qui la decisione di fermare temporaneamente le attività¹.

Sulla pressione operativa esistono già riscontri esterni. Tom’s Hardware ha descritto il sovraccarico per ingegneri Google e maintainer open source, travolti da report non validi o con “hallucinations”. TechCrunch, lo scorso anno, aveva raccolto avvertimenti di esperti di cybersecurity sul rischio che contenuti generati dall’AI indebolissero i bug bounty. Il caso di Google offre un esempio concreto di questo impatto¹.

Nell’annuncio, l’azienda chiede ai partecipanti di rivolgersi agli altri programmi di bug bounty ancora attivi. Non aggiunge dettagli operativi sulla riapertura dell’iniziativa open source oltre alla finestra indicata per l’aggiornamento nel Q1 2027¹.

Tempistiche chiare, quindi, ma con margini da definire. La sospensione decorre dal 1 ottobre. L’appuntamento per notizie sul futuro del programma cade nel primo trimestre del 2027. Mancano indicazioni su come cambieranno regole, criteri di validazione o processi di triage. Nessun accenno, ad esempio, a filtri anti-spam o a requisiti specifici per segnalazioni supportate da strumenti di AI. L’azienda si limita a promettere un update¹.

La scelta di fermare l’Open Source Software Vulnerability Rewards Program non tocca gli altri canali di segnalazione premiata di Google. Chi collabora con l’azienda su vulnerabilità e sicurezza può continuare a usare i programmi attivi elencati nei riferimenti ufficiali. Per l’open source interno a Google, invece, la pausa congela la via preferenziale che premiava i contributi verificati¹.

Restano aperte due questioni operative. Prima: come distinguere con affidabilità le submission generate o assistite dall’AI che portano valore da quelle rumorose. Seconda: come alleggerire il carico sui team di revisione senza scoraggiare le segnalazioni legittime. La finestra comunicata per l’aggiornamento lascia intendere un lavoro strutturale sulle procedure, ma Google non fornisce oggi elementi su direzione e portata dei cambiamenti¹.

Nel frattempo, i ricercatori che individuano falle nei progetti open source di Google devono attendere nuove linee guida. Chi punta a ricompense può concentrare gli sforzi sugli altri programmi dell’azienda, in attesa che l’iniziativa open source chiarisca criteri e confini nel 2027¹.