गूगल ने ओपन-सोर्स सॉफ़्टवेयर की कमजोरियों के लिए इनाम कार्यक्रम (오픈소스 소프트웨어 취약점 보상 프로그램; Open Source Software Vulnerability Rewards Program) 1 अक्टूबर से अस्थायी रूप से रोक दिया। इस कार्यक्रम के तहत शोधकर्ताओं को गूगल के ओपन-सोर्स सॉफ़्टवेयर में कमजोरियाँ ढूँढ़कर रिपोर्ट करने पर इनाम दिया जाता है। गूगल ने रोक की वजह स्वचालित रिपोर्टों में “काफी बढ़ोतरी” बताई और कहा कि उनमें से अधिकांश अमान्य थीं। कंपनी ने कहा कि कार्यक्रम के बारे में अगला अपडेट 2027 की पहली तिमाही में दिया जाएगा, लेकिन दोबारा शुरू होने की सटीक तारीख नहीं बताई।

पृष्ठभूमि और संदर्भ

कमजोरियों के लिए इनाम देने वाले कार्यक्रम बाहरी शोधकर्ताओं को सॉफ़्टवेयर की सुरक्षा संबंधी समस्याएँ ढूँढ़कर रिपोर्ट करने के लिए प्रोत्साहित करते हैं। अगर रिपोर्ट में किसी वास्तविक कमजोरी की पहचान की गई हो, तो उससे सुरक्षा समस्या की पुष्टि करने और उस पर कार्रवाई करने में मदद मिल सकती है। लेकिन रिपोर्ट अमान्य हो या उसमें ऐसी बातें हों जो सच न हों, तो उनकी समीक्षा करने वालों पर बोझ बढ़ सकता है।

टॉम्स हार्डवेयर के मुताबिक, गूगल के इंजीनियर और ओपन-सोर्स मेंटेनर ऐसी रिपोर्टों से दब गए थे जो अमान्य थीं या जिनमें मनगढ़ंत बातें—यानी सुनने में विश्वसनीय लेकिन असत्य जानकारी—शामिल थीं। गूगल ने रोक की वजह सीधे तौर पर स्वचालित सबमिशन में बढ़ोतरी और उनकी कम वैधता बताई। खबरों में इसे एआई से तैयार की गई रिपोर्टों की समस्या से जोड़ा गया, लेकिन स्वचालित रिपोर्टों में एआई द्वारा बनाई गई रिपोर्टों का अनुपात सार्वजनिक नहीं किया गया।

टेकक्रंच ने बताया कि पिछले साल साइबर सुरक्षा विशेषज्ञों ने चेतावनी दी थी कि एआई से बनी घटिया सामग्री बग बाउंटी कार्यक्रमों के लिए गंभीर खतरा हो सकती है। यह रोक दिखाती है कि स्वचालित रिपोर्टों की संख्या बढ़ने पर, उनकी समीक्षा करने और उनकी सत्यता परखने की क्षमता भी कार्यक्रम चलाने की एक अहम शर्त बन सकती है—सिर्फ रिपोर्टों की संख्या ही नहीं।

इस खबर का क्या अर्थ है

इसका सीधा असर उन शोधकर्ताओं पर पड़ा है जो गूगल के इस कार्यक्रम के ज़रिए कमजोरियाँ रिपोर्ट करना चाहते थे। कार्यक्रम बंद रहने के दौरान इस माध्यम से रिपोर्ट करने और इनाम पाने की गतिविधियाँ बाधित हो सकती हैं। गूगल ने प्रतिभागियों को अपने दूसरे बग बाउंटी कार्यक्रमों पर विचार करने की सलाह दी।

समीक्षकों और ओपन-सोर्स मेंटेनरों के लिए भी रिपोर्टों की गुणवत्ता अहम है। अगर बहुत-सी अमान्य रिपोर्टें जमा हो जाएँ, तो वास्तविक कमजोरियों की रिपोर्टों को अलग पहचानने के लिए अधिक समीक्षा करनी पड़ सकती है। इससे इनाम कार्यक्रम के कमजोरियाँ खोजने के माध्यम के रूप में काम करने पर असर पड़ सकता है। हालाँकि, गूगल ने सिर्फ इतना बताया है कि स्वचालित सबमिशन बढ़े और उनमें से अधिकांश अमान्य थीं; यह पुष्टि नहीं हुई है कि इसकी वजह से वास्तविक सुरक्षा कार्रवाइयों में कितनी देरी हुई।

उदाहरण के लिए, अगर किसी शोधकर्ता को लगता है कि उसने गूगल के ओपन-सोर्स सॉफ़्टवेयर में कोई कमजोरी ढूँढ़ी है, तो उसे पहले यह जाँचना होगा कि संबंधित कार्यक्रम बंद है या नहीं, और फिर गूगल की ओर से बताए गए दूसरे बग बाउंटी कार्यक्रमों को देखना होगा। हालाँकि, हर कार्यक्रम में किन रिपोर्टों को स्वीकार किया जाता है या उसकी शर्तें क्या हैं, इसकी जानकारी यहाँ उपलब्ध नहीं है।

पुष्ट तथ्य और अब तक अज्ञात बातें

पुष्ट तथ्य

  • गूगल ने ओपन-सोर्स सॉफ़्टवेयर की कमजोरियों के लिए इनाम कार्यक्रम 1 अक्टूबर से अस्थायी रूप से रोक दिया।
  • गूगल ने कहा कि स्वचालित सबमिशन में काफी बढ़ोतरी हुई और उनमें से अधिकांश अमान्य थीं।
  • टॉम्स हार्डवेयर ने बताया कि अमान्य या मनगढ़ंत जानकारी वाली रिपोर्टों से गूगल के इंजीनियर और ओपन-सोर्स मेंटेनर दब गए थे।
  • गूगल ने कहा कि वह 2027 की पहली तिमाही में कार्यक्रम के बारे में अपडेट देगा और प्रतिभागियों को अपने दूसरे बग बाउंटी कार्यक्रमों पर विचार करने की सलाह दी।

अब तक अज्ञात बातें

  • कार्यक्रम ठीक कब दोबारा शुरू होगा, यह सार्वजनिक नहीं किया गया। 2027 की पहली तिमाही में अपडेट देने की बात कार्यक्रम फिर शुरू होने की तारीख की पुष्टि नहीं है।
  • स्वचालित सबमिशन में एआई से तैयार रिपोर्टों का अनुपात ज्ञात नहीं है।
  • यह भी स्पष्ट नहीं है कि रोक का वास्तविक कमजोरियों की रिपोर्टों की समीक्षा या सुरक्षा कार्रवाई पर ठोस रूप से क्या असर पड़ा।

पाठकों को क्या जाँचना चाहिए

  • जो शोधकर्ता इस कार्यक्रम में रिपोर्ट करना चाहते हैं, वे इसकी वेबसाइट पर नवीनतम सूचना देखकर रोक की स्थिति और 2027 की पहली तिमाही में आने वाले अपडेट की जानकारी ले सकते हैं।
  • दूसरे माध्यम से रिपोर्ट करने के इच्छुक लोगों को गूगल की ओर से बताए गए अन्य बग बाउंटी कार्यक्रम देखने चाहिए। हर कार्यक्रम का दायरा और रिपोर्ट स्वीकार करने की शर्तें अलग से जाँचनी होंगी।
  • अगर रिपोर्ट तैयार करने के लिए स्वचालित उपकरणों का इस्तेमाल किया जाता है, तो सबमिट करने से पहले यह जाँचना ज़रूरी है कि उसमें वास्तव में पुष्ट कमजोरी और उसके प्रमाण शामिल हैं।