Hardware Ready Ready to Bench?
Google sospende il. I programmi di bug bounty sono concepiti per creare un rapporto vantaggioso tra le aziende e gli esperti di sicurezza informatica, consentendo alle prime di correggere le vulnerabilità nei propri sistemi e ai secondi di ricevere una ricompensa per averle individuate. Tuttavia, l’avvento dell’intelligenza artificiale ha generato un effetto collaterale inatteso.
Negli ultimi tempi, molte iniziative di questo tipo sono state sommerse da segnalazioni di scarsa qualità generate automaticamente tramite modelli linguistici di grandi dimensioni (LLM), anziché provenienti da ricercatori esperti. Spesso, queste segnalazioni indicano vulnerabilità inesistenti o impossibili da sfruttare, risultato delle cosiddette “allucinazioni” dell’IA.
Google sospende il: perché è importante
Questa situazione ha rappresentato un ostacolo significativo, spingendo Google a prendere una decisione drastica, seguendo l’esempio di altre aziende come Curl, Intel e HackerOne. L’azienda di Mountain View ha infatti sospeso il suo programma retribuito per la segnalazione di vulnerabilità software open source, denominato Open Source Software Vulnerability Reporting Program (OSS VRP).
Il programma OSS VRP era uno dei più remunerativi in circolazione: Google offriva premi fino a 31.337 dollari per le vulnerabilità considerate più critiche, mentre Intel arrivava ad offrire ricompense fino a 150.000 dollari.
La sospensione del programma significa che, al momento, gli hacker etici hanno meno opportunità di trarre profitto dalle proprie competenze in questo ambito. Google ha comunque precisato che, pur riscontrando una netta maggioranza di segnalazioni automatiche non valide, si impegna a riorganizzare l’iniziativa e fornirà un aggiornamento nel primo trimestre del 2027.
Nel frattempo, i ricercatori di vulnerabilità sono invitati a continuare a inviare i loro report agli altri programmi VRP o Patch Rewards di Google, che rimangono operativi. Un’alternativa interessante è rappresentata da Apple, che offre una taglia di 2 milioni di dollari per la scoperta di exploit in grado di ottenere gli stessi risultati di un attacco spyware mercenario altamente sofisticato.
Cosa cambia e quali sono gli effetti
L’intelligenza artificiale si è diffusa ampiamente sul web e gran parte dei contenuti online sono generati da IA: musica, post sui social media e persino commenti. Se da un lato questo suscita critiche tra gli artisti, che considerano tali contenuti nella migliore delle ipotesi mediocri, dall’altro rappresenta un problema concreto anche per le stesse aziende che sviluppano l’IA.
I ricercatori avvertono che le IA, nel complesso, tendono a peggiorare quando apprendono da contenuti generati da altre IA, un fenomeno noto come la regola del “garbage in, garbage out”. Poiché strumenti come ChatGPT vengono addestrati su informazioni pubbliche provenienti da internet, inclusi forum come Reddit, si rischia di innescare un ciclo autodistruttivo. Questo è uno dei motivi per cui aziende come Google e Anthropic hanno intrapreso imponenti progetti di scansione di libri fisici: rappresentano contenuti intatti, scritti interamente da esseri umani e risalenti a un’epoca in cui l’uso dell’IA non era diffuso.
Secondo quanto riportato da BGR, Google spera di riorganizzare il programma OSS VRP per affrontare efficacemente il problema delle segnalazioni automatiche non valide. L’azienda rimane impegnata a garantire la sicurezza dei propri prodotti e servizi, ma riconosce che l’attuale situazione rende difficile raggiungere questo obiettivo attraverso i tradizionali programmi di bug bounty.
Fonte e approfondimento su google sospende il: articolo originale.
* Contenuto realizzato con l'ausilio di sistemi di intelligenza artificiale.