Google setter bug bounty for åpen kildekode på pause etter en flom av falske KI-rapporter

Google har sluttet å ta imot nye meldinger om sikkerhetsfeil i åpen kildekode-prosjektene sine gjennom dusørprogrammet, som betalte eksterne forskere for å finne slike feil. Årsaken er en flom av rapporter skrevet med AI-verktøy, og de fleste beskriver feil som ikke finnes.

Dette får konsekvenser langt utover Google. Programmeringsspråket Go, web-rammeverket Angular, byggesystemet Bazel og Protocol Buffers ligger til grunn for millioner av apper og nettsteder. Dusørprogrammet var en av måtene eksterne forskere kunne få betalt for å finne svakhetene før angriperne gjorde det. Foreløpig er den døren halvveis stengt.

Et dusørprogram bygger på en enkel avtale. Hvem som helst kan undersøke koden, og hvis de finner en reell sårbarhet og rapporterer den privat, betaler selskapet. Googles Open Source Software Vulnerability Reward Program betalte mellom 100 og 31 337 dollar per rapport. Toppbeløpet var et nikk til «elite», et gammelt uttrykk i hackerslang. Hver innsending havner hos en sikkerhetsingeniør, som må gjenskape problemet før noen får betalt.

Det var dette menneskelige leddet som fikk systemet til å låse seg. I meldingen om pausen oppga Google «en betydelig økning i automatiserte innsendinger, hvorav det store flertallet ikke er gyldige». Rapporter laget av AI-modeller kan se ut som ekspertarbeid, med kodeutdrag, trinnvise angrepsforløp og bastante alvorlighetsvurderinger. Sikkerhetsforskere som følger utviklingen, beskriver oppdiktede angrepsforløp, feilaktige antakelser om hvordan koden oppfører seg, og påstander om at en sårbar funksjon kan nås selv om den ikke kan det. Hver eneste rapport tar likevel tid for en ingeniør å motbevise.

Pausen er mer begrenset enn det først kan virke. Google tar fortsatt imot rapporter om forsyningskjeden, som varsler om kompromitterte avhengigheter eller kaprede byggeløp, og vil behandle alle rapporter om produkter som ble sendt inn før fristen. Patch Rewards Program, som betaler opptil 15 000 dollar for rettinger som gjør viktige åpen kildekode-prosjekter sikrere, fortsetter som før. Enkelte feil i Google Cloud-repositorier kan dessuten fortsatt meldes inn gjennom det separate Cloud-programmet.

Pausen har likevel en kostnad. Den stenger også ute grundige forskere som bruker AI som ett av flere verktøy, og en reell feil som oppdages i mellomtiden, får én betalt kanal mindre inn til Googles ingeniører. Selskapet har ikke opplyst hvor mange rapporter det mottok, hvor stor andel som kom fra AI, eller hvordan det vil skille gode automatiserte funn fra dårlige når programmet åpner igjen.

Google er ikke det første selskapet som møter denne veggen. Daniel Stenberg, hovedansvarlig vedlikeholder for curl, dataoverføringsverktøyet som er innebygd i milliarder av enheter, la ned prosjektets dusørprogram i januar 2026 etter at AI-genererte rapporter fortsatte å hope seg opp. I mars lovet Anthropic, Google, Microsoft, GitHub, OpenAI og AWS 12,5 millioner dollar til Open Source Security Foundation og Alpha-Omega-prosjektet. AWS advarte samtidig om at AI-genererte rapporter overveldet vedlikeholderne av åpen kildekode.

Pausen trådte i kraft 1. oktober, og Google har lovet en oppdatering om et omarbeidet program i første kvartal 2027. Inntil videre blir forskere som finner produktfeil i Googles åpen kildekode, henvist til selskapets øvrige belønningsprogrammer.

Verktøyene som skulle finne feil raskere, har endt opp med å begrave menneskene som skal kontrollere dem. Akkurat nå er det knappeste godet innen sikkerhet for åpen kildekode en person med nok tid til å lese rapporten.

Tagger: Google, cybersikkerhet, åpen kildekode, bug bounty, curl, Google OSS VRP