Google tạm dừng chương trình săn lỗ hổng mã nguồn mở vì làn sóng báo cáo do AI tạo ra

Google vừa thông báo tạm dừng chương trình săn lỗ hổng dành cho phần mềm mã nguồn mở của mình, với lý do số lượng báo cáo do AI tạo ra tăng lên một cách đáng kể. Động thái này cho thấy những hệ lụy ngày càng rõ của làn sóng nội dung do trí tuệ nhân tạo tạo ra đối với cộng đồng an ninh mạng.

Chuyện gì đã xảy ra?

Theo thông báo đăng trên mạng xã hội X và trang web của chương trình, Google đã tạm dừng Chương trình Phần thưởng Phát hiện Lỗ hổng Phần mềm Mã nguồn mở (Open Source Software Vulnerability Rewards Program, viết tắt OSS VRP) kể từ ngày 1/10. Đây là chương trình thưởng cho các nhà nghiên cứu khi tìm ra lỗ hổng bảo mật trong các dự án mã nguồn mở của công ty.

Công ty cho biết sẽ có "một bản cập nhật" vào quý đầu tiên của năm 2027. Trong thời gian chờ đợi, những người tham gia được khuyến khích tìm đến các chương trình săn lỗ hổng khác của Google.

Lý do được đưa ra rất rõ ràng:

"Việc tạm dừng này xuất phát từ sự gia tăng đáng kể các báo cáo tự động, trong đó phần lớn không hợp lệ."

Vấn đề "rác AI" trong các chương trình săn lỗ hổng

Đây không phải là câu chuyện mới. Từ năm ngoái, giới chuyên gia an ninh mạng đã cảnh báo rằng tình trạng nội dung do AI tạo ra một cách hàng loạt — thường được gọi là "AI slop" — đang đe dọa nghiêm trọng đến các chương trình săn lỗ hổng.

Theo trang Tom's Hardware, các kỹ sư của Google cùng những người bảo trì dự án mã nguồn mở đã bị quá tải bởi các báo cáo không hợp lệ hoặc chứa thông tin bịa đặt (hallucination). Với sự hỗ trợ của các mô hình ngôn ngữ lớn, bất kỳ ai cũng có thể tạo ra hàng loạt báo cáo lỗ hổng trông có vẻ chuyên nghiệp chỉ trong vài phút, nhưng thực chất chẳng mô tả lỗ hổng nào có thật.

Điều này tạo ra một nghịch lý: trong khi các mô hình AI hoàn toàn có thể giúp ích cho công tác kiểm tra bảo mật, việc lạm dụng chúng lại gây ra gánh nặng khổng lồ cho đội ngũ xử lý. Mỗi báo cáo, dù vô nghĩa, vẫn cần con người đọc, đánh giá và phản hồi.

Hệ quả cho cộng đồng mã nguồn mở

Chương trình OSS VRP không chỉ là một kênh thưởng cho nhà nghiên cứu. Nó còn là một phần quan trọng trong nỗ lực bảo vệ chuỗi cung ứng phần mềm — nơi một lỗ hổng nhỏ trong thư viện mã nguồn mở có thể lan ra hàng triệu hệ thống trên toàn cầu.

Việc tạm dừng chương trình trong hơn một năm có thể khiến nhiều lỗ hổng thực sự bị phát hiện muộn hơn. Với người dùng và doanh nghiệp Việt Nam, những người phụ thuộc rất nhiều vào các thư viện mã nguồn mở trong sản phẩm của mình, đây là một tín hiệu đáng lưu tâm về tính bền vững của mô hình săn lỗ hổng cộng đồng dựa trên phần thưởng.

• Báo cáo không hợp lệ làm loãng nguồn lực kiểm duyệt
• Thời gian phản hồi các báo cáo thật bị kéo dài
• Động lực tham gia của nhà nghiên cứu chân chính bị suy giảm

Bài học cho các chương trình săn lỗ hổng khác

Câu chuyện của Google có thể là lời cảnh báo cho nhiều tổ chức khác đang vận hành các chương trình tương tự. Để thích nghi, một số giải pháp đang được thảo luận gồm:

• Yêu cầu bằng chứng khai thác thực tế, thay vì chỉ mô tả lý thuyết
• Áp dụng các bộ lọc và mô hình phát hiện nội dung do AI tạo ra ngay ở bước tiếp nhận
• Đặt ra thời gian chờ hoặc giới hạn số lượng báo cáo cho mỗi tài khoản
• Xác minh danh tính nhà nghiên cứu trước khi chấp nhận báo cáo

Việc Google rút lui tạm thời không có nghĩa là mô hình săn lỗ hổng cộng đồng đã hết thời. Nhưng nó cho thấy rằng khi công cụ tạo nội dung trở nên quá dễ tiếp cận, giá trị của sự đóng góp chân chính sẽ cần được bảo vệ bằng những cơ chế xác minh chặt chẽ hơn.