Google anunció que suspendió temporalmente un “Programa de Recompensas por Vulnerabilidades” destinado a detectar fallos críticos de seguridad en software de código abierto, debido a problemas derivados de la inteligencia artificial. Estos sistemas, conocidos como programas de recompensas por errores, incentivan a los investigadores a reportar las vulnerabilidades en lugar de explotarlas, y son gestionados por la mayoría de las grandes empresas tecnológicas.
Google señaló en un comunicado publicado en X que la pausa se debe a un considerable aumento de envíos automatizados, en su gran mayoría no válidos. La noticia llega en un momento de creciente preocupación por la posibilidad de que los potentes modelos de inteligencia artificial faciliten la detección de vulnerabilidades de seguridad.
Google no es la única empresa que enfrenta problemas similares. El aumento de informes erróneos generados con poco esfuerzo sobrecarga a los ingenieros hasta el punto de impedirles resolver los problemas reales. Linus Torvalds, fundador de Linux, afirmó que el flujo incesante de informes generados por inteligencia artificial ha vuelto el trabajo de seguridad “casi inmanejable”. Intel, por su parte, cerró el mes pasado un programa similar que ofrecía recompensas de hasta 100 mil dólares por los reportes; sin embargo, no señaló explícitamente la inteligencia artificial como motivo.
Por qué es importante
Los programas de recompensas por errores son uno de los mecanismos fundamentales del mundo del código abierto para lograr que las vulnerabilidades de seguridad se cierren antes de caer en manos de personas malintencionadas. Que estos programas queden inoperativos bajo la carga de informes generados por inteligencia artificial significa que las vulnerabilidades críticas podrían permanecer sin notificar o que los equipos de mantenimiento no lograrían separar las amenazas reales. Los ejemplos de Torvalds e Intel demuestran que el problema no se limita a una sola empresa, sino que se ha convertido en un bloqueo en todo el ecosistema. La pausa estrecha el canal de notificación legítimo de los investigadores independientes y vuelve a poner sobre la mesa el riesgo de abuso que estos sistemas fueron creados para prevenir. La verdadera cuestión ante los desarrolladores es si estos programas podrán mantenerse sin que se encuentre un método que filtre la avalancha de informes automáticos.