جوجل توقف برنامج مكافأة ثغرات المنتجات المفتوحة المصدر بعد تدفق تقارير الذكاء الاصطناعي

في الأول من أكتوبر عام 2026، أعلنت شركة جوجل عن اتخاذ خطوة مؤقتة لتوقف استقبال التقارير الجديدة المتعلقة بالثغرات في برنامج مكافأة الثغرات المفتوحة المصدر (OSS VRP). وأوضحت جوجل أن هذا الإيقاف سيظل ساريًا حتى يتم إصدار تحديث شامل يحدد تفاصيل البرنامج الجديد، وهو ما تتعهد الشركة بنشره بحلول الربع الأول من عام 2027. ومع ذلك، فإن الإيقاف يقتصر فقط على الفئة الخاصة بالثغرات التي تتعلق بمنتجات جوجل، ولا يمتد إلى جميع برامج المكافآت التي تديرها الشركة.

ما يغطيه الإيقاف وما لا يغطيه

ينطبق الإيقاف حصريًا على فئة الثغرات المتعلقة بمنتجات جوجل داخل برنامج OSS VRP. في الوقت نفسه، تستمر مسارات المكافآت الأخرى التي تديرها جوجل، مثل برنامج مكافأة الثغرات السحابية، في استقبال التقارير دون أي انقطاع. كما أن تقارير سلسلة التوريد المفتوحة المصدر لا تتأثر بهذا الإيقاف. وتظل الثغرات التي تم الإبلاغ عنها قبل تاريخ 1 أكتوبر 2026 ضمن نطاق القبول، ويمكن للباحثين متابعة بعض العيوب الموجودة في مستودعات جوجل السحابية التي تؤثر على منتجات السحابة عبر برنامج مكافأة السحابة المنفصل.

ربط التحليل الداخلي لجوجل قرار الإيقاف بارتفاع غير مسبوق في عدد التقارير التي تم إنشاؤها آليًا باستخدام تقنيات الذكاء الاصطناعي، حيث وُصفت الغالبية العظمى من هذه التقارير بأنها غير صالحة. هذا الارتفاع الهائل أدى إلى إغراق فرق الصيانة المفتوحة المصدر، التي اضطرت إلى إنفاق وقت ثمين في إعادة إنتاج ورفض تلك التقارير التي تصف عيوبًا وهمية أو غير قابلة للاستغلال، على حساب معالجة المشكلات الأمنية الحقيقية التي تم التحقق منها.

لماذا أصبح الضجيج المولّد بالذكاء الاصطناعي مشكلة

خفض تكلفة فحص واكتشاف الثغرات وتوليد التقارير بفضل أدوات الذكاء الاصطناعي جعل عملية البحث عن الثغرات أكثر ديمقراطية، مما مكن عددًا أكبر من الباحثين من المساهمة في اكتشاف عيوب حقيقية. ومع ذلك، أدى هذا الانخفاض في الجهد المطلوب إلى إزالة الحاجز الطبيعي الذي كان يفلتر التقارير منخفضة الجودة، فأصبح بإمكان الأدوات الآلية إنتاج آلاف التقارير الاصطناعية بإشراف بشري محدود، مما زاد من حجم الضجيج الذي يجب على مسؤولي البرنامج معالجته وتقييمه.

• السكربتات الآلية تولد تقارير على نطاق واسع
• نماذج اللغة الكبيرة تخلق مسارات شفرة مقنعة لكنها خاطئة
• يمكن للباحثين الإرسال دون تحقق يدوي
• يجب على الصانعين تخصيص وقت لإعادة الإنتاج ورفض كل تقرير

أفاد صانعو الصيانة المفتوحة المصدر، الذين يشكلون غالبًا مجموعة من المتطوعين، أن تدفق التقارير غير الصالحة حوّل الموارد المتاحة بعيدًا عن العمل الأمني الحقيقي. فالوقت المستغرق في إعادة إنتاج الأخطاء الوهمية لا أدى فقط إلى تأخير تطوير التصحيحات الأمنية، بل ساهم أيضًا في زيادة مستوى الإرهاق والضغط النفسي بين المساهمين في المجتمع المفتوح المصدر.

استجابة جوجل وخططها المستقبلية

أكدت جوجل أن الإيقاف هو إجراء مؤقت يهدف إلى إعطاء الفريق المتخصص فرصة لإعادة هيكلة الجزء المتأثر من برنامج OSS VRP. ولم تنشر الشركة بعد قواعد تحقق بديلة، لكنها أكدت أن البرنامج لن يُغلق نهائيًا. بل تسعى جوجل إلى فرض معايير أكثر صرامة لقبول التقارير، من المحتمل أن تشمل طلب دليل قابل لإعادة الإنتاج، وإثبات تأثير فعلي، بالإضافة إلى خطوة مراجعة بشرية قبل إدخال التقرير في خط المكافآت.

ربط كل من TechCrunch وTom’s Hardware القرار بتحدٍ أوسع يواجه أنظمة لينكس وغيرها من بيئات المصدر المفتوح، حيث يغمر الصانعون تقارير منخفضة الجودة. وقد أفادت كلتا المنشورتين بنفس الجدول الزمني والسبب، ولا توجد أي ادعاءات إضافية تُنسب إلى برامج أخرى غير تلك التي أوردتها المصادر المذكورة.

بالنسبة لفرق الأمن التي تعتمد على إفصاحات الثغرات الخارجية، يمثل الإيقاف تذكيرًا بأهمية تطبيق عمليات تدقيق داخلية صارمة. فطلب دليل قابل لإعادة الإنتاج، وبيان واضح للتأثير، ومراجعة يدوية قبل فتح تذكرة يمكن أن يساعد في تصفية الضجيج المولّد بالذكاء الاصطناعي وحماية المحللين من مطاردة تهديدات وهمية لا تستحق الجهد.

تُظهر هذه الحالة أيضًا الحاجة إلى تنسيق أفضل بين منصات المكافآت ومشاريع المصدر المفتوح. يمكن أن تقلل الإرشادات الواضحة لما يُعد تقريرًا صالحًا، إلى جانب الفحص الآلي المسبق الذي يحدد الاحتمالات الوهمية، من العبء على الصانعين مع الحفاظ على الفوائد التي يقدمها نظام المكافآت النشط.

بالنسبة للمنظمات الناطقة بالعربية والتي تشارك في برامج أمان المصدر المفتوح، يعني الإيقاف ضرورة تعديل سير عمل إدارة الثغرات. يجب على الفرق توقع فترة تحقق أطول لتقارير الثغرات الخاصة بالمنتجات المقدمة إلى OSS VRP من جوجل، وإعطاء الأولوية للتقارير الغنية بالأدلة، والنظر في قنوات بديلة—مثل برنامج مكافأة السحابة أو التنسيق المباشر مع صانعي المشروع—للعثور على ثغرات حرجة. عمليًا، يترجم ذلك إلى تباطؤ مؤقت في تلقي مكافآت الثغرات لبعض الأخطاء المفتوحة المصدر، لكنه يتيح أيضًا فرصة للتركيز على الإفصاحات ذات الجودة العالية التي يمكن معالجتها بسرعة أكبر.