Google временно закрыла приём новых заявок в программе Open Source Software Vulnerability Reward Program (OSS VRPi) — она платит за найденные уязвимости в open source-проектах компании. Причина — лавина отчётов, сгенерированных ИИ: большинство из них оказались бесполезны, содержали ошибки, выдуманные сценарии атак и ИИ-галлюцинации, из-за чего инженеры Google были вынуждены тратить время на проверку каждой фальшивки на случай, если среди мусора окажется реальная угроза.

Программа перестала принимать новые обращения с 1 октября 2026 года. Вернуть её к работе в обновлённом виде планируют не раньше первого квартала 2027 года. При этом другая программа bug bountyi — для закрытых продуктов Google вроде Gmail или облака — продолжает работать в обычном режиме, так как их код не лежит публично на GitHub и его сложнее «прогнать» через ИИ.

• Программа называется OSS VRP (Open Source Software Vulnerability Reward Program); её правила и суммы выплат опубликованы на bughunters.google.com
• Обычные выплаты по bug bounty Google варьируются от $100 до $31337i — число 31337 на leetspeak означает «elite» («илитка»)
• Схема злоупотребления: пользователи скармливали ИИ репозиторий с промптом в духе «найди уязвимость», получали красиво оформленный отчёт с номерами строк и отправляли его в Google почти без затрат, в надежде на выплату
• По словам Google, подавляющее большинство присланных отчётов оказались невалидны — выдуманные уязвимости и ложные сценарии атак
• Закрытая программа bug bounty для продуктов типа Gmail и облака Google продолжает работать без изменений, так как их исходный код не публикуется в открытом доступе
• Источники указывают разные формулировки срока возврата: «не раньше первого квартала следующего года» / «до 2027 года» / «в первом квартале 2027 года» — то есть речь об одном и том же сроке