Google đã tạm dừng từ ngày 1 tháng 10 Chương trình thưởng báo cáo lỗ hổng phần mềm mã nguồn mở (오픈소스 소프트웨어 취약점 보상 프로그램; Open Source Software Vulnerability Rewards Program). Đây là chương trình thưởng cho các nhà nghiên cứu tìm và báo cáo lỗ hổng trong phần mềm mã nguồn mở của Google. Google nêu “mức tăng đáng kể” về số lượng báo cáo tự động là lý do tạm dừng, đồng thời cho biết phần lớn các báo cáo này không hợp lệ. Google cho biết sẽ cập nhật thông tin về chương trình vào quý I năm 2027, nhưng không thông báo thời điểm cụ thể chương trình hoạt động trở lại.

Bối cảnh

Các chương trình thưởng tìm lỗi cung cấp phần thưởng để khuyến khích các nhà nghiên cứu bên ngoài phát hiện và báo cáo vấn đề bảo mật trong phần mềm. Nếu báo cáo chỉ ra một lỗ hổng thực sự, nó có thể giúp xác minh và xử lý vấn đề bảo mật; nhưng nếu báo cáo không hợp lệ hoặc chứa thông tin sai sự thật, gánh nặng thẩm định có thể tăng lên.

Theo Tom's Hardware (톰스 하드웨어), các kỹ sư của Google và những người duy trì phần mềm mã nguồn mở đã bị quá tải bởi các báo cáo không hợp lệ hoặc chứa nội dung ảo giác (nghe có vẻ hợp lý nhưng không đúng sự thật). Lý do tạm dừng mà Google trực tiếp nêu ra là số lượng báo cáo tự động tăng và tỷ lệ hợp lệ thấp. Bài báo liên hệ vấn đề này với các báo cáo do AI tạo ra, nhưng chưa công bố tỷ lệ báo cáo do AI tạo ra trong số các báo cáo tự động.

TechCrunch (테크크런치) đưa tin rằng năm ngoái, các chuyên gia an ninh mạng đã cảnh báo nội dung chất lượng thấp do AI tạo ra có thể gây rủi ro nghiêm trọng cho các chương trình thưởng tìm lỗi. Việc tạm dừng lần này cho thấy khi số lượng báo cáo tự động tăng, năng lực thẩm định và xác minh tính xác thực của chúng cũng có thể trở thành điều kiện quan trọng trong hoạt động của chương trình, chứ không chỉ là số lượng báo cáo.

Tin này có ý nghĩa gì

Những người chịu ảnh hưởng trực tiếp là các nhà nghiên cứu dự định báo cáo lỗ hổng thông qua chương trình nói trên của Google. Trong thời gian chương trình tạm dừng, hoạt động báo cáo và nhận thưởng qua kênh này có thể bị gián đoạn. Google khuyến nghị người tham gia cân nhắc các chương trình thưởng tìm lỗi khác của công ty.

Chất lượng báo cáo cũng rất quan trọng đối với người thẩm định và những người duy trì phần mềm mã nguồn mở. Nếu có nhiều báo cáo không hợp lệ, họ có thể cần dành thêm thời gian thẩm định để phân biệt các báo cáo về lỗ hổng thực sự; điều này có thể ảnh hưởng đến khả năng hoạt động của chương trình thưởng như một kênh phát hiện lỗ hổng. Tuy nhiên, thông tin Google công bố chỉ là số lượng báo cáo tự động đã tăng và phần lớn không hợp lệ; chưa rõ điều này đã khiến hoạt động ứng phó bảo mật thực tế chậm trễ đến mức nào.

Ví dụ, nếu một nhà nghiên cứu cho rằng mình đã phát hiện lỗ hổng trong phần mềm mã nguồn mở của Google, trước tiên họ cần kiểm tra xem chương trình này có đang tạm dừng hay không và xem xét các chương trình thưởng tìm lỗi khác mà Google đã giới thiệu. Tuy nhiên, thông tin được xác nhận ở đây không bao gồm phạm vi tiếp nhận hay điều kiện của từng chương trình.

Những gì đã xác nhận và những điều chưa rõ

Những gì đã xác nhận

  • Google đã tạm dừng Chương trình thưởng báo cáo lỗ hổng phần mềm mã nguồn mở từ ngày 1 tháng 10.
  • Google cho biết số lượng báo cáo tự động tăng đáng kể và phần lớn không hợp lệ.
  • Tom's Hardware đưa tin các kỹ sư của Google và những người duy trì phần mềm mã nguồn mở đã bị quá tải bởi các báo cáo không hợp lệ hoặc chứa nội dung ảo giác.
  • Google cho biết sẽ cập nhật thông tin về chương trình vào quý I năm 2027 và khuyến nghị người tham gia cân nhắc các chương trình thưởng tìm lỗi khác của công ty.

Những điều chưa rõ

  • Chưa công bố chính xác khi nào chương trình hoạt động trở lại. Mốc quý I năm 2027 là thời điểm cập nhật thông tin, không phải ngày tái khởi động đã được xác nhận.
  • Chưa rõ các báo cáo do AI tạo ra chiếm tỷ lệ bao nhiêu trong số các báo cáo tự động.
  • Chưa xác định được ảnh hưởng cụ thể của việc tạm dừng đối với quá trình thẩm định báo cáo lỗ hổng thực sự hoặc hoạt động ứng phó bảo mật.

Những điều độc giả nên kiểm tra

  • Các nhà nghiên cứu muốn gửi báo cáo cho chương trình này có thể xem thông báo mới nhất trên trang web của chương trình để kiểm tra tình trạng tạm dừng và thông tin cập nhật vào quý I năm 2027.
  • Nếu muốn gửi báo cáo qua một kênh khác, hãy xem các chương trình thưởng tìm lỗi khác mà Google đã giới thiệu, đồng thời kiểm tra riêng đối tượng và điều kiện tiếp nhận của từng chương trình.
  • Nếu dùng công cụ tự động để soạn báo cáo, điều quan trọng là cần kiểm tra trước khi gửi xem báo cáo có nêu lỗ hổng đã được xác minh thực tế và các bằng chứng liên quan hay không.