Почему Google перестал принимать часть отчётов об уязвимостях?

С 1 октября 2026 Google приостановил приём новых продуктовых уязвимостей в OSS VRP — программе вознаграждений за находки в открытом коде. Решение не закрывает все программы Google.

Меня здесь интересует время людей, которые проверяют результат.

19 марта Google отдельно описывал проблему некачественных ИИ-отчётов, в том числе с выдуманными деталями. Этот мартовский материал даёт контекст, но не доказывает, что каждую октябрьскую автоматическую заявку написал ИИ.

Представим обычную рабочую ситуацию. Модель просмотрела код и написала: «Найдена уязвимость». Текст подробный, выглядит уверенно. Автор переслал его разработчику.

А разработчику нужно выяснить, вызывается ли этот код, можно ли повторить ошибку и есть ли реальная угроза. Иногда из этого получится полезная находка. Иногда выяснится, что модель описала сценарий, который здесь невозможен.

Это мой пример, а не сообщение о конкретном случае в Google.

Получается, время на создание отчёта и время на его проверку — две разные вещи. Я бы не называл процесс быстрым только потому, что первая часть стала занимать меньше времени.

Мне хотелось бы видеть рядом с выводом понятные доказательства. Что проверили? Как повторить? Какой результат получили? Что осталось предположением?

ИИ может помочь и с такой проверкой. Но ещё один уверенный ответ модели сам по себе не подтверждает первый.

Для «Завода блогеров» мне близок именно этот вопрос: насколько легко проверить результат агента следующему участнику процесса. Иначе можно автоматизировать создание задач, а разбор оставить человеку.

Я бы считал пользу по всей цепочке. Сколько работы исчезло, сколько добавилось и кому она досталась.

Если используешь ИИ, должен ли ты сам проверить вывод перед отправкой другому?