Google Hata Ödül Programını (OSS VRP) Dondurdu!

Google, açık kaynaklı yazılımlarındaki güvenlik açıklarını bulan araştırmacılara ödeme yaptığı ünlü programı Açık Kaynaklı Yazılım Güvenlik Ödülü Programı (OSS VRP) kapsamındaki ürün hata raporu kabullerini resmen dondurdu.

Siber güvenlik dünyası, yapay zekanın otomasyon gücüyle üretilen düşük kaliteli içeriklerin (AI Slop) sektörü nasıl kilitleyebileceğinin en somut örneğine tanıklık ediyor. Teknoloji devi Google, 1 Ekim itibarıyla açık kaynaklı yazılım projelerindeki ürün açıklarını bildiren OSS VRP (Open Source Software Vulnerability Reward Program) programını geçici olarak askıya aldığını duyurdu. 

Şirketten yapılan açıklamada, kararın arkasındaki temel nedenin "yapay zeka araçlarıyla otomatik olarak üretilmiş, asılsız ve geçersiz hata raporlarının (submisions) yarattığı yoğun istila" olduğu belirtildi.

Mühendisler "Yapay Zeka Halüsinasyonları" Arasında Boğuldu

Normal şartlarda bir güvenlik açığı bulmak; derin kod analizi, teknik beceri ve manuel testler gerektiren zahmetli bir süreçtir. Ancak Büyük Dil Modellerinin (LLM) ve yapay zeka tabanlı kod tarama betiklerinin yaygınlaşması, hata avcılığı yapma maliyetini ve çabasını neredeyse sıfıra indirdi. Ödül avcıları, yapay zekaya binlerce satırlık açık kaynaklı kodları taratarak otomatik raporlar oluşturmaya başladı. Ortaya çıkan tablo ise tam bir kaos oldu:

Geçersiz Rapor Akını: Google mühendisleri ve açık kaynak sürdürücüleri, sistemde hata olduğunu iddia eden ancak aslında yapay zekanın "halüsinasyon (uydurma)" ürününden ibaret olan binlerce kalitesiz raporla karşı karşıya kaldı.

Zaman Kaybı: Güvenlik ekipleri, gerçekten kritik ve siber tehdit oluşturan gerçek açıkları kapatmaya odaklanmak yerine, yapay zekanın uydurduğu sahte kod hatalarını manuel olarak doğrulamaya ve ayıklamaya çok fazla zaman harcamaya başladı.

Kapatma Kararı Neleri Kapsıyor?

Google'ın aldığı radikal karar, programı tamamen sonlandırmak anlamına gelmiyor ancak sistem yeniden yapılandırılana kadar ciddi kısıtlamalar getiriyor:

Ürün Açıkları Durduruldu: Google'ın halka açık repolarındaki kod kusurları, tasarım hataları veya mantık açıklarını kapsayan ürün zafiyet bildirimleri durduruldu. Bu askıya alma sürecinin 2027'nin ilk çeyreğine kadar sürmesi planlanıyor. 

Kapsam Dışı Olanlar: Yazılım tedarik zinciri (supply chain) raporları, Google Cloud repolarını etkileyen belirli durumlar ve 1 Ekim öncesi gönderilen raporlar bu durdurma kararından etkilenmeyecek

Küresel Bir Kriz: Linux, Intel ve HackerOne da Tehlikede

Bu durum sadece Google'a özgü değil, tüm bilişim endüstrisini vuran küresel bir trend haline geldi. 

   1. Linux Kernel: Linux geliştiricileri, yapay zeka destekli avcılar yüzünden sürüm başına zafiyet raporu kaydının 2.000 gibi rekor bir seviyeye ulaşması nedeniyle "tamamen tükendiklerini" açıkladılar. 

   2. Curl: Web dünyasının en temel kütüphanelerinden Curl, yapay zeka slop raporlarının bütçe ve zaman tüketmesi nedeniyle ödül avcılarına nakit ödeme yapmayı tamamen durdurdu. 

   3. Intel: Intel de siber güvenlik uzmanlarının "AI rapor istilası" olarak yorumladığı benzer nedenlerle 100.000 dolara varan hata ödül programını askıya aldı. 

   4. HackerOne: Dünyanın en büyük ödül avcılığı platformlarından HackerOne, internet genelindeki bazı hata havuzlarını benzer otomasyon krizleri nedeniyle dondurmak zorunda kaldı. 

Gelecekte Ne Olacak?

Siber güvenlik uzmanları, Google'ın 2027'deki geri dönüşünde "Yapay Zeka Bariyerleri" uygulayacağını öngörüyor. Yeni dönemde araştırmacılardan sadece metin tabanlı iddialar değil, hatanın çalıştığını kanıtlayan çalıştırılabilir kod kanıtları (Proof of Concept - PoC) ya da belirli bir araştırmacı itibar skoru (reputation threshold) eşiği istenecek.