AI починає «зловживати»: Node.js змушений припинити нагороди через фальшиві звіти про вразливості

AI може писати код, перевіряти код, тепер він ще й може створювати фальшиві звіти про вразливості.
13 квітня HackerOne офіційно припинив роботу «Інтернет-програми нагородження за вразливості» (IBB), яка працювала 14 років, і більше не приймає нові повідомлення про вразливості. Зовнішня причина — стратегічне коригування платформи, але справжня причина одна: фальшиві звіти про вразливості, створені AI, засмітили службу підтримки.
HackerOne сказав: інструменти AI дозволяють швидше знаходити вразливості, ніж їх виправляти, платформа заповнена низькоякісними, хибними або підробленими звітами, баланс відкритого співтовариства був повністю порушений.
Найбільше постраждав Node.js.
Після цього офіційне повідомлення Node.js оголосив: через припинення роботи програми нагородження HackerOne, проект припиняє виплати за звіти про вразливості. Як відкритий проект, керований волонтерами, Node.js не має окремого бюджету для фонду нагород, і при відсутності зовнішнього фінансування нагороди одразу припиняються.
Насправді, ще до офіційного припинення HackerOne, Node.js вже був змушений пройти через одну корекцію. Компанія з безпеки Socket зазначила, що раніше Node.js значно підвищив поріг подачі звітів, але це не зупинило потік AI-звітів — кожен отриманий звіт вимагає багато зусиль для перевірки, і дев’ять із десяти — створені AI.
Крім того, Node.js не перший, хто падає.
У січні цього року засновник cURL Daniel Stenberg оголосив про припинення програми нагородження за вразливості з тією ж причиною: за тиждень команда отримала 7 AI-згенерованих «фальшивих звітів», які виглядали серйозно і структуровано, але після перевірки виявилися сміттям. Він назвав такі звіти «AI Slop» — виглядають логічно, але насправді безкорисні.
Абсурд цієї ситуації в тому, що механізм нагородження за вразливості був задуманий для стимулювання високоякісних досліджень безпеки, але AI знизив поріг подачі звітів до нуля — запустивши один раз кодову базу через AI, можна автоматично згенерувати десятки звітів, які виглядають правдоподібно, і просто їх подати. Якщо пощастить, один з них виявиться правильним. Від волонтерів засмічені звіти, а справжні вразливості залишаються непоміченими. $ETH