Google suspendió la recepción de nuevos reportes de vulnerabilidades en su programa de recompensas para proyectos de código abierto. La razón: le llegaban tantos reportes generados de forma automática, en su mayoría inválidos, que revisarlos se volvió un problema.
Es una señal clara de cómo la inteligencia artificial está cambiando el trabajo de seguridad, para bien y para mal.
¿Qué pasó?
Desde el 1 de octubre de 2026, el Open Source Software Vulnerability Reward Program (OSS VRP) de Google ya no acepta reportes nuevos de vulnerabilidades en productos. Un programa de recompensas, o bug bounty, le paga a investigadores independientes por encontrar fallas de seguridad antes que los atacantes.
En su aviso, Google explicó que la pausa se debe a “un aumento significativo de envíos automatizados”, y que la gran mayoría no son válidos. TechCrunch publicó la noticia el 4 de octubre y Help Net Security la amplió el 5 de octubre.
Según Help Net Security, el programa nació en 2022 y cubre proyectos de Google como Go, Angular y Protocol Buffers. Los reportes que se enviaron antes del 1 de octubre se siguen revisando.
Google pidió a los investigadores mandar sus hallazgos a sus otros programas de recompensas, o al Patch Rewards Program, que paga por mejoras de seguridad en sus proyectos abiertos. Algunos repositorios de Google Cloud todavía reciben reportes a través del Cloud VRP. La empresa prometió dar una actualización sobre el futuro del programa en el primer trimestre de 2027.
¿Por qué te importa?
Las herramientas de IA hacen muy fácil generar reportes que parecen serios. El problema es que muchos describen fallas que no existen o que no tienen impacto real, y alguien tiene que revisarlos a mano. Ese tiempo se le quita a corregir las fallas verdaderas.
Google no es el primero en pasar por esto. TechCrunch recuerda que desde 2025 varios programas de recompensas venían advirtiendo sobre la llamada AI slop, es decir, contenido de baja calidad producido en masa con IA.
Si usas IA para buscar errores en tu código o en el de otros, la lección es simple: la herramienta te ayuda a encontrar pistas, pero el reporte solo vale si tú comprobaste que la falla existe.
¿Qué puedes hacer?
- Antes de reportar una falla encontrada con IA, reprodúcela tú mismo en un entorno de prueba y explica paso a paso cómo verificarla.
- Si mantienes un proyecto abierto, publica una política de seguridad clara que pida pruebas reproducibles en cada reporte.
- Si buscabas recompensas en proyectos de Google, revisa sus otros programas vigentes en lugar del OSS VRP.
- Usa la IA para revisar tu propio código antes de publicarlo, no para generar reportes en masa sobre código ajeno.
- Sigue el anuncio de Google en el primer trimestre de 2027 para saber cómo cambiarán las reglas.
Fuentes
- TechCrunch: Google froze its open source bug bounty program due to a ‘significant rise’ in AI submissions
- Help Net Security: AI slop submissions force Google to freeze its open-source bug bounty
- BleepingComputer: Google halts open-source bug bounty program amid AI spam surge
Imagen de portada: foto de Tara Winstead en Pexels.
[…] Google congela sus recompensas de código abierto por spam de IA […]