Google Narrows Open Source Bug Bounty Amid Wave of Invalid Automated Reports

Goo­gle ha de­ci­di­do sus­pen­der tem­po­ral­men­te la re­cep­ción de in­for­mes de fa­llos en pro­duc­tos den­tro de su pro­gra­ma de re­com­pen­sas por vul­ne­ra­bi­li­da­des de có­di­go abier­to. Esta me­di­da se debió a un in­cre­men­to no­ta­ble en la can­ti­dad de en­víos au­to­má­ti­cos, de los cua­les una gran ma­yo­ría no eran co­rrec­tos.

A pesar de esta pausa, la em­pre­sa acla­ró que la me­di­da no afec­ta los re­por­tes sobre la ca­de­na de su­mi­nis­tro ni aque­llos que ya es­ta­ban pen­dien­tes. Asi­mis­mo, se in­di­có que los fa­llos en­via­dos pre­via­men­te si­guen sin verse afec­ta­dos y que al­gu­nas in­ci­den­cias en re­po­si­to­rios vin­cu­la­dos a cier­tos pro­duc­tos aún po­drían ser acep­ta­das me­dian­te otra ini­cia­ti­va de la com­pa­ñía.

Los in­ves­ti­ga­do­res de se­gu­ri­dad tie­nen la op­ción de di­ri­gir sus ha­llaz­gos hacia otras ini­cia­ti­vas de re­com­pen­sa de la or­ga­ni­za­ción, o bien par­ti­ci­par en un pro­gra­ma en­fo­ca­do en me­jo­rar de forma proac­ti­va la se­gu­ri­dad del soft­wa­re libre. La em­pre­sa tiene la in­ten­ción de re­vi­sar esta sec­ción de su pro­gra­ma y pro­por­cio­nar nue­vas in­for­ma­ció­nes en el pri­mer tri­mes­tre de un año fu­tu­ro.

El pro­gra­ma tem­po­ral­men­te sus­pen­di­do fue lan­za­do ori­gi­nal­men­te para re­tri­buir a los ex­per­tos por fa­llos de­tec­ta­dos en pro­yec­tos de có­di­go abier­to de la com­pa­ñía. Esta de­ci­sión se suma a mo­di­fi­ca­cio­nes pre­vias rea­li­za­das por la em­pre­sa en sus pro­gra­mas para otros sis­te­mas y na­ve­ga­do­res, adap­tán­do­se a la uti­li­za­ción de he­rra­mien­tas de in­te­li­gen­cia ar­ti­fi­cial para la bús­que­da de erro­res, una si­tua­ción si­mi­lar a la ex­pe­ri­men­ta­da por otras pla­ta­for­mas del sec­tor.