Google объявила о временной приостановке «Программы вознаграждения за уязвимости», направленной на выявление критических уязвимостей в программном обеспечении с открытым исходным кодом, из-за проблем, связанных с искусственным интеллектом. Эти системы, известные как программы вознаграждения за ошибки, поощряют исследователей сообщать об уязвимостях вместо их использования во вред и проводятся большинством крупных технологических компаний.
В своём заявлении в X компания Google отметила, что пауза вызвана резким ростом числа автоматических заявок, подавляющее большинство которых являются недействительными. Эта новость появилась в период, когда растут опасения, что мощные модели искусственного интеллекта упрощают поиск уязвимостей.
Google — не единственная компания, столкнувшаяся с подобными проблемами. Рост числа ошибочных отчётов, созданных с минимальными усилиями, загружает инженеров настолько, что они не в состоянии решать реальные проблемы. Создатель Linux Linus Torvalds говорил, что бесконечный поток отчётов, связанных с искусственным интеллектом, делает работу над безопасностью «практически неуправляемой». Intel в прошлом месяце закрыла аналогичную программу, предлагавшую вознаграждение до 100 тысяч долларов за сообщения об уязвимостях, однако не указала напрямую искусственный интеллект в качестве причины.
Почему это важно
Программы вознаграждения за обнаружение ошибок — один из основных механизмов, позволяющих в мире открытого исходного кода закрывать уязвимости до того, как они попадут в руки злоумышленников. То, что эти программы оказываются неработоспособными под нагрузкой отчётов, связанных с искусственным интеллектом, означает, что о критических уязвимостях могут не сообщить, а команды сопровождения могут не суметь отфильтровать реальные угрозы. Примеры Torvalds и Intel показывают, что проблема не ограничивается одной компанией, а превращается в затор в масштабах всей экосистемы. Приостановка сужает легитимный канал оповещения для независимых исследователей и вновь ставит на повестку дня риск злоупотреблений, для предотвращения которых эти системы и были созданы. Главный вопрос, стоящий перед разработчиками, — смогут ли эти программы продолжать работу, если не будет найден способ отфильтровывать поток автоматических отчётов.