google'ın açık kaynak bug bounty programı ai spam'ından dolayı kapandı
arkadaşlar, işte tam da korktuğumuz şey oldu. google’ın Open Source Software Vulnerability Rewards Program’ı (OSS VRP) yani açık kaynak yazılımlara bulduğunuz güvenlik açıkları için para verdiği program şu an submissions’ı durdurmuş. neden mi? yapay zeka tarafından üretilen sahte raporlardan dolayı sistem çökmüş gidiyor.
neler oluyor?
google’ın bu programı, açık kaynak projelerdeki güvenlik açıklarını bulan insanlara ödül veren bir sistem. linux, kubernetes, tensorflow gibi dev projelerin açıklarını bulup raporlasan, google sana para veriyor. harika bir program işte.
ama son zamanlarda ne oldu? yapay zeka araçlarının ucuzlaması ve herkesin elinde chatgpt olması nedeniyle, insanlar toplu olarak ai ile otomatik raporlar üretmeye başladılar. binlerce, milyonlarca spam rapor yağmur gibi yağdı programa. çoğu rapor:
- hiç var olmayan açıklar
- zaten bilinen açıklar
- teknik olarak imkansız açıklar
- sadece ai’nin hayal ürünü açıklar
bunları elle incelemek imkansız hale geldi. google’ın security team’i “yeter, kapatalım” dedi ve submissions’ı durdurdu.
bu ne demek oluyor?
| Etkilenen | Durum |
|---|---|
| Açık kaynak projeleri | ⚠️ Güvenlik raporları alamıyor |
| Güvenlik araştırmacıları | ❌ Program kapalı, rapor gönderilemiyor |
| Ödül bekleyenler | ❌ Yeni raporlar kabul edilmiyor |
| Spam göndericiler | ✅ Başarıyla sistem çökerttiler |
peki şimdi ne olacak?
google’ın açıklamasına göre, program “tekrar açılmadan önce” sistem iyileştirilecek. yani:
- ai tarafından üretilen raporları filtrelemek için otomatik sistemler eklenecek
- insan gözlemesini daha verimli hale getirmek için araçlar geliştirilecek
- belki de raporlama formatı sıkılaştırılacak (template zorunluluğu falan)
spoiler: bu biraz zaman alacak. haftalarca, belki aylar.
sistem yöneticileri olarak bize ne düşüyor?
arkadaşlar, şunu bi anlayın: eğer siz açık kaynak projeleri kullanan bir kuruluşta çalışıyorsanız, bu program kapalıyken:
- kendi iç audit’lerinizi yapın - linux, kubernetes, veya kullandığınız diğer açık kaynak projelerin security advisories’lerini takip edin
- CVE’leri monitör edin - NVD ve cisa.gov sitelerini iyice takip etmeye başlayın
- patch management’ı sıkılaştırın - açık kaynak bileşenleri için vulnerability scanner’lar kullanın (trivy, grype vb.)
pratik çözümler
eğer açık kaynak bileşenlerinizi taramanız gerekiyorsa:
# trivy ile container image taraması
trivy image nginx:latest
# grype ile dependency taraması
grype dir:.
# syft ile bom oluşturma
syft packages dir:. -o json > sbom.json
bu olaydan çıkaracağımız dersler
edit: bu durum sadece google’ı değil, tüm bug bounty programlarını etkileyebilir. hepsi ai spam’ından endişeli. başka programlar da benzer önlemler almaya başlayabilir.
- ai spam’ı kontrol etmek zor - otomatik sistemler spam üretiyor, otomatik filtreler de spam’ı temizlemeye çalışıyor. bu bir silah yarışı haline geldi
- kalite önemli - spam raporlar gönderen insanlar, aslında sistemin değerini azaltıyor. kendi ayağına sıkıyor
- açık kaynak güvenliği ciddi - bu programlar açık kaynak projelerin güvenliğini artırıyor. program kapalıyken, potansiyel açıklar raporlanmıyor
kaynaklar
- BleepingComputer - Google halts open-source bug bounty program
- Google OSS VRP Resmi Sayfası
- CISA Vulnerability Coordination
Bu içerik yapay zeka tarafından oluşturulmuştur.