Hà Linh(Technews) – Google ngừng tiếp nhận một số báo cáo lỗ hổng bảo mật trong phần mềm mã nguồn mở từ ngày 1/10, sau khi lượng báo cáo tự động tăng mạnh, phần lớn không hợp lệ và gây quá tải cho đội ngũ kiểm duyệt.
Google đã tạm dừng tiếp nhận báo cáo về lỗ hổng sản phẩm trong chương trình thưởng phát hiện lỗi phần mềm mã nguồn mở (Open Source Software Vulnerability Rewards Program – OSS VRP). Quyết định có hiệu lực từ ngày 1/10/2026, sau khi hãng ghi nhận lượng lớn báo cáo tự động thiếu chính xác.
Theo thông báo của Google, phần lớn báo cáo được gửi đến gần đây không đáp ứng yêu cầu về tính hợp lệ, khiến quá trình xác minh lỗ hổng mất nhiều thời gian và nguồn lực. Công ty đang điều chỉnh cơ chế tiếp nhận, đồng thời dự kiến công bố thông tin cập nhật trong quý I/2027.
OSS VRP được Google triển khai từ năm 2022 nhằm khuyến khích các nhà nghiên cứu bảo mật tìm kiếm và báo cáo lỗ hổng trong những dự án mã nguồn mở do hãng phát triển. Các dự án thuộc phạm vi chương trình bao gồm ngôn ngữ lập trình Go, framework Angular, Bazel, Protocol Buffers và hệ điều hành Fuchsia.
Trước khi thay đổi quy định, chương trình từng trao thưởng từ 100 USD đến 31.337 USD cho các phát hiện bảo mật đủ điều kiện, tùy theo mức độ nghiêm trọng và khả năng ảnh hưởng đến hệ sinh thái phần mềm.
Tuy nhiên, sự phổ biến của các công cụ AI hỗ trợ lập trình và phân tích mã nguồn đã làm thay đổi đáng kể số lượng cũng như chất lượng báo cáo được gửi đến.
Trong thông báo hồi tháng 3, Google cho biết nhiều báo cáo do AI tạo ra chứa thông tin không chính xác, thậm chí mô tả những tình huống khai thác lỗ hổng không tồn tại. Một số báo cáo xác định đúng lỗi lập trình nhưng không chứng minh được nguy cơ bảo mật thực tế, chẳng hạn đoạn mã bị ảnh hưởng không thể được thực thi trong điều kiện vận hành thông thường.
Google nhận định AI có thể hỗ trợ phát hiện lỗ hổng nhanh hơn, song các kết quả vẫn cần được kiểm chứng trước khi gửi cho đơn vị duy trì phần mềm. Việc liên tục tiếp nhận những báo cáo thiếu bằng chứng khiến các kỹ sư phải dành thời gian rà soát thay vì tập trung khắc phục những rủi ro nghiêm trọng.
Động thái này không đồng nghĩa Google chấm dứt toàn bộ chương trình thưởng tìm lỗi. Hãng vẫn tiếp nhận báo cáo liên quan đến nguy cơ xâm phạm chuỗi cung ứng phần mềm, đồng thời tiếp tục xử lý những hồ sơ đã gửi trước ngày 1/10.
Các nhà nghiên cứu cũng có thể tham gia những chương trình thưởng bảo mật khác của Google, bao gồm chương trình dành cho các sản phẩm Google Cloud hoặc chương trình trả thưởng cho bản vá mã nguồn mở.
Theo BleepingComputer, Google đang tìm cách thiết kế lại quy trình OSS VRP để hạn chế báo cáo tự động không hợp lệ. Hiện hãng chưa công bố thời điểm chính thức tiếp nhận trở lại các báo cáo lỗ hổng sản phẩm.
Tình trạng quá tải vì báo cáo AI không chỉ xảy ra tại Google. Những dự án mã nguồn mở lớn như OpenSSL cũng đang chịu áp lực khi số lượng báo cáo bảo mật tăng nhanh. Theo Axios, OpenSSL tiếp nhận trung bình 71 báo cáo mỗi tháng trong giai đoạn tháng 5–7/2026, so với 9 báo cáo cùng kỳ năm trước.
Dù AI giúp việc rà quét và phát hiện nguy cơ bảo mật trở nên dễ dàng hơn, các nhà phát triển vẫn phải xác minh từng kết quả để xác định liệu lỗ hổng có thực sự tồn tại và cần được khắc phục hay không.
Theo: Google, TechCrunch, BleepingComputer, Axios
