Google suspende su programa de recompensas por errores de código abierto

AXCESS · Octubre 09, 2026, 03:22:14 PM

Google ha suspendido temporalmente la recepción de envíos para su Programa de Recompensas por Vulnerabilidades en Software de Código Abierto (OSS VRP) tras verse inundado por informes generados mediante inteligencia artificial.

El programa OSS VRP de la compañía incentiva a los investigadores de seguridad a divulgar de manera responsable fallos de seguridad en proyectos de código abierto mantenidos por Google —incluidos Golang, Angular, Bazel, Protocol Buffers, Fuchsia y dependencias críticas de terceros—, así como en configuraciones de repositorios como GitHub Actions, configuraciones de aplicaciones y reglas de control de acceso.

Google lanzó el OSS VRP en agosto de 2022 con recompensas que oscilaban entre los 100 y los 31.337 dólares, señalando que el programa se centraría en los fallos de seguridad con mayor impacto en la cadena de suministro de software.

"Hemos dejado de aceptar temporalmente envíos de vulnerabilidades de productos para el OSS VRP. Esto no afecta a los informes sobre la cadena de suministro del OSS VRP ni a los informes pendientes", declaró la empresa. "¿Por qué ocurre esto? Esta pausa se debe a un aumento significativo de los envíos automatizados, la gran mayoría de los cuales no son válidos".

No obstante, los investigadores aún pueden enviar parches de seguridad para software de código abierto a través del Programa de Recompensas por Parches de Google (que ofrece incentivos de hasta 15.000 dólares por correcciones de alto impacto) y reportar vulnerabilidades en repositorios de código abierto de Google Cloud que afecten a productos de Cloud mediante el programa Cloud VRP de la compañía.

Google añadió que actualmente está trabajando en reajustar el OSS VRP para abordar los problemas relacionados con los envíos automatizados, y que ofrecerá más información sobre los cambios el próximo año.

"Seguiremos reformulando y trabajando en este aspecto del OSS VRP y nos comprometemos a ofrecer una actualización en el primer trimestre de 2027", agregó Google en un comunicado en el sitio web Bug Hunters. "Mientras tanto, les animamos a buscar vulnerabilidades de impacto en nuestros otros programas VRP y enviarlas allí, o bien a participar en el Programa de Recompensas por Parches. Este cambio no afecta a las vulnerabilidades de productos enviadas antes del 1 de octubre de 2026".

Desde el lanzamiento de su primer programa de recompensas por vulnerabilidades (VRP) en 2010, Google ha recompensado a miles de investigadores de seguridad con más de 81,6 millones de dólares. En 2025, otorgó una cifra récord de 17,1 millones de dólares a más de 700 investigadores, lo que supone un aumento del 40 % con respecto a 2024, año en el que repartió un total de 12 millones.

Google no es la primera empresa que cierra un programa de recompensas por errores en el último año debido a la incesante avalancha de informes de baja calidad generados por inteligencia artificial.

En enero, el responsable de mantenimiento de la utilidad de línea de comandos y biblioteca *curl* puso fin al programa de recompensas por fallos de seguridad en HackerOne, tras verse desbordado por un flujo masivo de informes de vulnerabilidades de ínfima calidad generados por IA.

Más recientemente, a mediados de septiembre, Intel también eliminó todas las recompensas económicas por fallos de seguridad en su *software*, *firmware*, *hardware* y servicios notificados a través de su programa en Intigriti. Sin embargo, Intel aún no ha explicado esta decisión.

Aunque todavía no ha adoptado una medida similar, Microsoft advirtió en mayo que las herramientas de IA facilitan ahora la detección de muchas más vulnerabilidades, lo que provocará que "el ritmo y el alcance del descubrimiento de vulnerabilidades [...] aumenten en toda la industria del *software*" y "puedan incrementar las exigencias operativas".

El mes pasado, Microsoft publicó parches para una cifra récord de 966 fallos, incluidas dos vulnerabilidades de día cero que estaban siendo explotadas activamente.

Fuente:
BleepingComputer
You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login

Google suspende su programa de recompensas por errores de código abierto

AXCESS

Octubre 09, 2026, 03:22:14 PM