أعلنت شركة جوجل تعليق استقبال تقارير الثغرات الأمنية الخاصة بمنتجاتها مفتوحة المصدر ضمن برنامج مكافآت اكتشاف الثغرات، في خطوة تعكس التحديات المتزايدة التي فرضها التدفق الكبير للتقارير الآلية منخفضة الجودة، وسط تصاعد الاعتماد على أدوات الذكاء الاصطناعي في عمليات البحث الأمني وإعداد البلاغات التقنية.
ويدخل القرار حيز التنفيذ اعتبارًا من الأول من أكتوبر 2026، ما يعني أن الباحثين الأمنيين لن يتمكنوا مؤقتًا من تقديم تقارير تتعلق بثغرات برمجية في مشاريع مفتوحة المصدر بارزة تديرها جوجل، مثل Go وAngular وProtocol Buffers، مقابل مكافآت مالية كما كان معمولًا به سابقًا.
في المقابل، أكدت الشركة أن تقارير اختراقات سلاسل التوريد البرمجية ستظل مقبولة ضمن البرنامج، كما أن البلاغات المقدمة قبل الأول من أكتوبر لن تتأثر بالقرار الجديد.
ارتفاع هائل في البلاغات الآلية يدفع جوجل إلى التدخل
أوضحت جوجل أن الإيقاف مؤقت، لكنه جاء نتيجة “ارتفاع كبير في عدد البلاغات الآلية”، مؤكدة أن الغالبية العظمى من هذه التقارير اتضح أنها غير صحيحة أو تفتقر إلى الأدلة الفنية اللازمة لإثبات وجود ثغرات فعلية.
ورغم أن الشركة لم تقدم أرقامًا دقيقة حول حجم هذه البلاغات أو نسبتها، فإن القرار يعكس أزمة متنامية تواجهها برامج مكافآت الثغرات عالميًا، حيث أدى الانتشار الواسع لأدوات الذكاء الاصطناعي التوليدي إلى تمكين عدد متزايد من المستخدمين من إنتاج تقارير أمنية بكميات كبيرة دون التحقق الكافي من صحتها.
ويشير مراقبون إلى أن هذه الظاهرة أصبحت تستنزف وقت فرق المراجعة والتحليل الأمني، إذ تضطر إلى فحص آلاف البلاغات التي تبدو تقنية ومقنعة ظاهريًا، لكنها غالبًا ما تستند إلى سيناريوهات غير قابلة للاستغلال أو إلى ثغرات غير موجودة أصلًا.
وأعلنت جوجل أنها ستعمل خلال الأشهر المقبلة على إعادة هيكلة هذا الجزء من البرنامج، على أن تقدم تحديثًا رسميًا خلال الربع الأول من عام 2027، دون تحديد موعد واضح لاستئناف استقبال هذا النوع من التقارير.
مشاريع كبرى تفقد مؤقتًا مسار المكافآت
كان برنامج مكافآت الثغرات الخاص بالبرمجيات مفتوحة المصدر، المعروف باسم Open Source Software Vulnerability Reward Program أو OSS VRP، يوفر حوافز مالية للباحثين الذين يكتشفون ثغرات مؤثرة في مشاريع جوجل مفتوحة المصدر.
وتضم قائمة المشاريع الأكثر أهمية داخل البرنامج أسماء بارزة في عالم تطوير البرمجيات، من بينها:
Go
Angular
Flutter
Bazel
Protocol Buffers
وقد صنفت جوجل المشاريع إلى مستويات مختلفة وفقًا لحساسيتها وأهميتها وتأثيرها المحتمل على المستخدمين والأنظمة المعتمدة عليها.
وقبل قرار الإيقاف، كانت مكافآت اكتشاف ثغرات المنتجات تتراوح بين 500 و7500 دولار للمشاريع المصنفة ضمن الفئة الرئيسية، وبين 101 و3133.7 دولار للمشاريع المصنفة ضمن فئة الأهمية المرتفعة.
لكن التعديلات الأخيرة أزالت هذه المكافآت بالكامل بشكل مؤقت، مع الإبقاء على الحوافز المالية المرتبطة بالحالات الأخرى، خصوصًا اختراقات سلاسل التوريد البرمجية والمشكلات الأمنية ذات التأثير المباشر على سلامة الشيفرات ومكونات التطوير.
ما الثغرات التي شملها قرار التعليق؟
بحسب قواعد البرنامج، يُقصد بثغرات المنتجات تلك العيوب الموجودة في تصميم البرمجيات أو طريقة تنفيذها والتي يمكن أن تؤثر بصورة كبيرة على سرية بيانات المستخدمين أو سلامة المعلومات داخل التطبيقات المبنية باستخدام تلك المشاريع المفتوحة المصدر.
ومن الأمثلة التي كانت تغطيها المكافآت سابقًا:
ثغرات فساد الذاكرة Memory Corruption.
أخطاء معالجة صيغ الملفات File Format Parsing Vulnerabilities.
ثغرات اجتياز المسار Path Traversal.
عيوب التنفيذ التي قد تسمح بالوصول غير المصرح به إلى بيانات المستخدمين.
أما الثغرات المرتبطة بسلسلة التوريد البرمجية، مثل إمكانية التلاعب بالشيفرات المصدرية أو الحزم المنشورة للمطورين، فما زالت مؤهلة للحصول على مكافآت قد تصل إلى أكثر من 31 ألف دولار في بعض الحالات عالية الخطورة.
بدائل متاحة للباحثين الأمنيين
رغم تعليق هذا المسار من برنامج المكافآت، أوضحت جوجل أن أمام الباحثين عدة خيارات أخرى للإبلاغ عن الثغرات الأمنية.
أول هذه الخيارات يتمثل في برنامج Cloud VRP المخصص للخدمات السحابية، والذي قد يستقبل بعض البلاغات المتعلقة بمستودعات مفتوحة المصدر تتبع Google Cloud وتؤثر بشكل مباشر في المنتجات السحابية للشركة.
كما يظل برنامج Patch Rewards Program متاحًا، وهو نظام مختلف يعتمد على تقديم تصحيحات أمنية فعلية للمشروعات وليس مجرد الإبلاغ عن الثغرات. وتتراوح مكافآته بين 100 و15 ألف دولار، شريطة قبول التصحيح البرمجي رسميًا من قبل القائمين على المشروع واستمراره ضمن الشيفرة لمدة لا تقل عن شهر.
كذلك حثت الشركة الباحثين على مراجعة برامج المكافآت الأخرى التابعة لها، بما في ذلك البرامج المرتبطة بخدمات الذكاء الاصطناعي أو المنتجات السحابية، إذا كانت الثغرات المكتشفة تقع ضمن نطاق تلك الخدمات.
الذكاء الاصطناعي في قلب الأزمة
لا يأتي القرار بمعزل عن سلسلة من الإجراءات التي اتخذتها جوجل خلال العام الجاري للحد من تدفق البلاغات منخفضة الجودة.
ففي مارس 2026 شددت الشركة متطلبات الإثبات الفني لبعض الفئات، وبدأت تطالب الباحثين بتقديم أدلة أكثر قوة على وجود الثغرات قبل النظر في مكافأتها.
وفي الوقت ذاته، نقلت تقارير تقنية عن فرق البرنامج مخاوف متزايدة من انتشار التقارير المُنشأة بواسطة أنظمة الذكاء الاصطناعي، والتي تتضمن في كثير من الأحيان تفاصيل مختلقة حول طرق استغلال مزعومة أو سيناريوهات هجوم غير واقعية.
كما أضاف مشروع Go في سبتمبر الماضي قسمًا جديدًا إلى سياسة الإبلاغ الأمني الخاصة به يتناول البلاغات المنتجة باستخدام نماذج اللغة الكبيرة LLMs، مؤكدًا أن هذه النماذج قادرة على اكتشاف بعض العيوب الحقيقية، لكنها في الوقت نفسه تستطيع إنتاج عدد مماثل من الثغرات الوهمية التي لا وجود لها على أرض الواقع.
وحذرت السياسة الجديدة من إرسال مخرجات الذكاء الاصطناعي بشكل مباشر دون مراجعة بشرية دقيقة، مشيرة إلى أن الباحثين الذين يرسلون كميات كبيرة من النتائج غير المفلترة لن يحصلوا على اعتماد رسمي لاكتشافاتهم، حتى وإن تضمنت بعض الملاحظات الصحيحة.
ويعكس هذا التطور تحولًا مهمًا في مشهد الأمن السيبراني العالمي، حيث لم تعد المشكلة مقتصرة على اكتشاف الثغرات فحسب، بل أصبحت تشمل أيضًا القدرة على التمييز بين الاكتشافات الحقيقية والنتائج الوهمية التي تنتجها أدوات الذكاء الاصطناعي، وهو تحدٍ مرشح للتصاعد مع ازدياد اعتماد الباحثين والمطورين على تقنيات الأتمتة والتحليل المدعومة بالنماذج اللغوية المتقدمة.
