Google Pauses OSS Product Bug Bounty Rewards After Surge in Invalid Automated Reports
The Hacker News · 6 oct, 11:21
Google ha pausado temporalmente su programa de recompensas por vulnerabilidades en software de código abierto (OSS VRP) desde el 1 de octubre debido a un aumento significativo en reportes automatizados inválidos, probablemente generados con herramientas de IA. El programa seguirá aceptando reportes sobre compromisos en la cadena de suministro y otros problemas de seguridad, pero las recompensas por vulnerabilidades de producto en proyectos destacados como Go, Angular y Protocol Buffers han sido suspendidas temporalmente. Google se compromete a actualizar el programa en el primer trimestre de 2027.
El OSS VRP, lanzado en agosto de 2022, ya había implementado en marzo de 2026 requisitos más estrictos para filtrar reportes de baja calidad tras detectar preocupación sobre presentaciones generadas por IA que incluían detalles inventados sobre cómo se podría explotar una supuesta vulnerabilidad. Ahora, la suspensión afecta específicamente a reportes de vulnerabilidades de producto (fallos de diseño o implementación que afecten a la confidencialidad e integridad de datos), que tenían recompensas de 500 a 7.500 dólares para proyectos flagship y 101 a 3.133,7 dólares para proyectos importantes.
Google mantiene activos otros canales: el programa de recompensas Cloud VRP para vulnerabilidades que afecten a productos de Google Cloud, el Patch Rewards Program que paga por parches ya aceptados (100 a 15.000 dólares), y reportes de compromiso en la cadena de suministro siguen siendo aceptados con recompensas de 500 a 31.337 dólares según la categoría. El proyecto Go añadió recientemente una sección en su política de seguridad advirtiendo que los modelos de lenguaje son tan efectivos identificando vulnerabilidades reales como reportando falsas, y pide a los reporteros que filtren los resultados antes de enviarlos.
Puntos clave
- Programa OSS VRP pausado desde 1 de octubre para vulnerabilidades de producto en código abierto
- Reportes de compromisos en cadena de suministro siguen siendo aceptados y recompensados
- Incremento de reportes inválidos probablemente generados automáticamente con herramientas de IA
- Google promete actualizar el programa en Q1 de 2027
- Alternativas activas: Cloud VRP, Patch Rewards Program y reporte de supply chain