Google, yapay zekâ raporlarıyla açık kaynak ödüllerini durdurdu

Google, açık kaynak yazılımlarındaki güvenlik açıklarını araştırmacılara ödül veren programını geçici olarak durdurdu. Şirket, kararın arkasında otomatik olarak hazırlanan başvurulardaki büyük artışın bulunduğunu açıkladı. Program kapsamında gönderilen raporların büyük bölümünün geçerli olmadığı belirtildi.

Open Source Software Vulnerability Rewards Program adıyla yürütülen çalışma, Google’ın açık kaynak projelerinde bulunan güvenlik açıklarını araştırmacıların bildirmesine dayanıyordu. Geçerli ve doğrulanabilir güvenlik bildirimleri, programın kuralları çerçevesinde ödüllendiriliyordu. Ancak son dönemde başvuruların sayısı artarken, bu raporların önemli bir kısmının gerçek bir açığı işaret etmediği ortaya çıktı.

Program 1 Ekim’de duraklatıldı

Google’ın açıklamasına göre program 1 Ekim itibarıyla askıya alındı. Şirket, çalışmanın ne zaman yeniden başlayacağını kesinleştirmedi; bunun yerine 2027’nin ilk çeyreğinde yeni bir bilgilendirme yapacağını duyurdu. Bu nedenle araştırmacılar, programın kısa süre içinde yeniden başlatılmasını beklemek yerine Google’ın diğer hata ödül programlarına yönlendiriliyor.

Karar, açık kaynak güvenlik araştırmalarında başvuru kalitesinin ne kadar kritik olduğunu gösteriyor. Güvenlik ekipleri her bildirimi incelerken açığın tekrarlanabilir olup olmadığını, etkilenen bileşenleri ve olası etkisini doğrulamak zorunda. Otomatik araçlarla üretilen, ancak teknik dayanağı bulunmayan çok sayıda rapor bu inceleme sürecini uzatabiliyor.

Bir güvenlik bildiriminin değerlendirilmesi yalnızca metnin okunmasından ibaret değil. Araştırmacının hangi bileşeni incelediğini, sorunun hangi koşullarda ortaya çıktığını ve güvenlik açısından ne gibi sonuçlar doğurduğunu gösterebilmesi gerekiyor. Bu ayrıntılar bulunmadığında güvenlik ekipleri, raporu kapatmadan önce ek kontroller yapmak zorunda kalabiliyor. Geçersiz başvuruların artması da gerçek sorunların incelenmesi için ayrılabilecek zamanı azaltabiliyor.

Yapay zekâ kaynaklı raporlar neden sorun oluşturuyor?

Yapay zekâ araçları, kaynak kodunu tarama, olası güvenlik hatalarını sınıflandırma ve başvuru metni oluşturma gibi işlemleri hızlandırabiliyor. Bununla birlikte bir modelin olası bir açığı gerçek bir güvenlik problemiymiş gibi sunması da mümkün. Yanlış varsayımlar, hatalı kod yorumları veya gerçekte bulunmayan bileşenler üzerinden hazırlanan raporlar, güvenlik ekiplerinin zamanını geçersiz başvurulara ayırmasına neden oluyor.

Google’ın programla ilgili açıklamasında, otomatik başvuruların sayısında ciddi bir yükseliş yaşandığı ve bunların ezici çoğunluğunun geçerli olmadığı ifade edildi. Şirket mühendisleri ile açık kaynak bakım ekiplerinin, yanlış bilgiler veya yapay zekâ tarafından üretilmiş hatalı sonuçlar içeren bildirimlerle karşı karşıya kaldığı aktarıldı.

Buradaki sorun yalnızca başvuru sayısının artması değil. Hata ödül programlarının verimli çalışabilmesi için araştırmacıların bulgularını teknik kanıtlarla desteklemesi gerekiyor. Bir raporun gerçekten güvenlik açığı içerip içermediğini kontrol etmek, otomatik üretim aşamasından daha fazla insan denetimi gerektirebiliyor. Bu da özellikle geniş bir açık kaynak ekosistemini yöneten şirketlerde inceleme kapasitesini zorlayabiliyor.

Yapay zekâ tarafından hazırlanan her raporun geçersiz olduğu anlamına gelmiyor. Sorun, otomatik üretimin doğrulama yapılmadan doğrudan ödül programlarına yönlendirilmesiyle ortaya çıkıyor. Araştırmacıların kullandıkları araçlardan bağımsız olarak bulguları sınaması, tekrar üretilebilir kanıt sunması ve raporu teknik ayrıntılarla desteklemesi gerekiyor. Google’ın açıklaması, bu insan denetiminin güvenlik bildirimleri açısından hâlâ merkezi bir rol taşıdığını gösteriyor.

Google’ın sonraki adımı bekleniyor

Google, programın duraklatılmasıyla ilgili yeni ayrıntıları 2027’nin ilk çeyreğinde paylaşacağını bildirdi. Şirketin hangi başvuru türlerini kabul edeceği, otomatik araçlarla hazırlanan raporlara nasıl yaklaşacağı veya doğrulama sürecinde değişiklik yapıp yapmayacağı henüz açıklanmadı.

Bu arada güvenlik araştırmacıları Google’ın diğer hata ödül programlarına başvurabiliyor. Açık kaynak programının geçici olarak kapanması, araştırmacıların Google ürünlerindeki güvenlik açıklarını bildiremeyeceği anlamına gelmiyor; yalnızca belirli programın başvuruları değerlendirmeye ara verdiğini gösteriyor.

Google’ın kararı, yapay zekânın güvenlik araştırmalarında hem üretkenlik aracı hem de yeni bir operasyon yükü olarak kullanılabildiğini ortaya koyuyor. Otomatik sistemler daha fazla potansiyel sorun bulabilirken, bu sonuçların insan uzmanlar tarafından doğrulanması gerekiyor. Programın 2027’de nasıl bir kuralla geri döneceği, güvenlik bildirimlerinde hız ile doğruluk arasındaki dengenin nasıl kurulacağını belirleyecek.