AI спамд дарагдсан нь: Google нээлттэй эхийн Bug Bounty хөтөлбөрөө гэнэт зогсоолоо

Нээлттэй эхийн программ хангамжийн аюулгүй байдлыг хангахын тулд дэлхийн томоохон технологийн компаниуд ёс зүйтэй хакерууд (white-hat hackers) болон бие даасан судлаачдад мөнгөн урамшуулал олгодог Bug Bounty хөтөлбөрийг олон жилийн турш амжилттай хэрэгжүүлж ирсэн билээ. Гэвч хиймэл оюуны (LLM) тэсрэлт нь энэхүү хамтын ажиллагааны тогтолцоонд урьд өмнө тохиолдож байгаагүй томоохон цохилт өглөө.

Google компани өөрийн Open Source Software Vulnerability Reward Program (OSS VRP) хөтөлбөрөөр дамжуулан нээлттэй эхийн төслүүдийнхээ кодоос эмзэг байдал илрүүлсэн тохиолдолд олгодог мөнгөн шагналыг түр хугацаагаар бүрэн зогсоосноо албан ёсоор мэдэгдлээ.

Юу болов? Хөтөлбөр яагаад царцав?

Google-ийн мэдэгдсэнээр уг шийдвэрийг гаргах болсон гол шалтгаан нь: "Автоматжуулсан тайлангуудын тоо огцом өссөн бөгөөд тэдгээрийн дийлэнх нь бодит бус, хуурамч (invalid) байсан" явдал юм.

Хэдийгээр мэдэгдэлд шууд "AI" эсвэл "LLM" гэдэг үгийг хатуу заагаагүй ч сүүлийн саруудад цахим аюулгүй байдлын салбарт газар авсан сөрөг үзэгдэл энд тод харагдаж байна. Олон мянган "шагнал горилсон" этгээдүүд нээлттэй эхийн репозиторуудыг LLM-д уншуулан, автоматаар асуудал хайх скрипт ажиллуулан, үнэмшилтэй харагдах урт тайлангуудыг Google рүү хэдэн мянгаар нь илгээх болжээ.

Эдгээр тайлангууд нь static analysis-ийн түвшинд алдаа мэт харагдах боловч бодит практикт огт ажиллах боломжгүй, хиймэл оюуны хийсвэр төсөөлөл (hallucination) дээр суурилсан "хиймэл хог" (AI slop) байдаг байна.

Ямар төслүүд өртөж, ямар шагналууд цуцлагдав?

Google өөрийн нээлттэй эхийн сангуудыг ач холбогдлоор нь дөрвөн түвшинд хуваадаг бөгөөд зөвхөн хамгийн өндөр хоёр түвшин болох Flagship болон Important төслүүдэд мөнгөн урамшуулал олгодог байв.

Эдгээрт дараах өргөн хэрэглэгддэг төслүүд багтаж байсан:

• Go (Golang) хэлний үндсэн сангууд
• Angular болон Flutter фрэймворкууд
• Bazel бүтээлтийн (build) систем
• Protocol Buffers (Protobuf) сериалчлалын протокол

Эдгээр "Flagship" ангиллын төслүүдээс memory corruption эсвэл path traversal зэрэг ноцтой архитектурын эмзэг байдал олж илрүүлбэл $500-аас $7,500 ам.доллар, харин "Important" төслүүдэд $101-ээс $3,133.7 хүртэлх шагнал олгодог байсныг дүрмийн баримт бичгээс бүрэн хасжээ.

Одоогоор зөвхөн төслийн нийлүүлэлтийн сүлжээний халдлага (supply chain compromise) буюу CI/CD пайплайн, багц түгээлтийн орчны эмзэг байдлын тайланг л хүлээн авч байна.

Triage хямрал: Шүүх хүчин чадлыг сөхрүүлсэн "AI Slop"

Аюулгүй байдлын судалгааны багуудад (Security Operations & Triage) ирдэг аливаа тайланг хүлээн авч, тухайн алдааг бодитоор давтаж (reproduce хийж) үзэх асар их хүний нөөц шаардагддаг.

Хэрэв нэг судлаач сард 1-2 чанартай, бодитой PoC (Proof of Concept) илгээдэг байсан бол өнөөдөр AI скрипт ашигласан ганц хүн өдөрт 50 хуурамч тайлан автоматаар илгээх боломжтой болсон. Үүний үр дүнд:

1. Шүүлтийн баг (Triage team) туйлдсан: Инженерүүд өдөр бүр хэдэн зуун хуудсаар бичигдсэн утгагүй хиймэл кодын логикийг тайлж уншихад цагаа барах болсон.
2. Жинхэнэ судлаачид хохирсон: Сарын турш хөдөлмөрлөж бодит цоорхой олсон ёс зүйтэй инженерүүдийн чухал тайлангууд хиймэл хог спамын далайд живж, хариу авах хугацаа нь хэдэн сараар хойшлох нөхцөл үүссэн.

Нээлттэй эхийн ирээдүйд өгөх дохио

Энэхүү асуудал нь зөвхөн Google-ийн bug bounty системээр хязгаарлагдахгүй. GitHub дээрх жижиг дунд нээлттэй эхийн maintainer-ууд сүүлийн үед AI-аар үүсгэсэн чанаргүй Pull Request, автоматаар бичсэн хуурамч Issue-д дарагдаж байгаа тухайгаа байнга гомдоллох болсон.

Гэтэл энэ удаад дэлхийн хамгийн том технологийн аваргуудын нэг хүртэл "хиймэл тайлангийн үер"-ийг шүүж дийлэхгүйд хүрч, хөтөлбөрөө хаахаас өөр аргагүйд хүрсэн нь нөхцөл байдал ямар түвшинд хүрснийг тод харуулж байна.

Google-ийн мэдээлснээр OSS VRP-ийн дүрмийг шинэчлэн боловсруулах ажил хийгдэж байгаа бөгөөд 2027 оны эхний улирал хүртэл уг хэсэг дахин нээгдэхгүй бололтой. AI нь код бичих, тест хийхэд тусалж байгаа ч хяналтгүйгээр автоматаар "өгөөш шидэх" (carpet-bombing) хэрэгсэл болж хувирах нь нээлттэй эхийн экосистемийг бүхэлд нь хэрхэн доголдуулж болдгийг энэ үйл явдал харууллаа.

Эх сурвалж:

• The Hacker News: Google Pauses OSS Product Bug Bounty Rewards After Surge in Invalid Automated Reports
• Google OSS Vulnerability Reward Program Documentation