Chương trình OSS VRP của Google vốn là cơ chế treo thưởng nhằm khuyến khích các nhà nghiên cứu bảo mật độc lập tìm kiếm và công bố lỗ hổng an ninh trên hệ sinh thái mã nguồn mở của tập đoàn.
Đây từng là công việc thủ công phức tạp, đòi hỏi kỹ năng chuyên môn cao từ chuyên gia an ninh mạng. Tuy nhiên, sự bùng nổ của mô hình ngôn ngữ lớn và công cụ quét lỗi tự động tích hợp AI khiến chi phí và công sức tạo báo cáo giảm xuống gần như bằng không. Tình trạng dẫn đến làn sóng gửi báo cáo chất lượng kém tràn ngập hệ thống.
Đội ngũ kỹ sư Google và người quản trị dự án mã nguồn mở rơi vào tình trạng quá tải khi phải xử lý hàng nghìn báo cáo. Hầu hết đều chứa thông tin sai lệch hoặc kết quả từ hiện tượng ảo giác AI mà không thể khai thác thực tế. Việc dành quá nhiều thời gian xác minh các mã lỗi khiến đội ngũ kỹ thuật không còn đủ nguồn lực để tập trung cho các vấn đề an ninh thực sự nghiêm trọng.
Logo Google tại trụ sở hãng ở Mountain View, California, Mỹ, tháng 5/2026. Ảnh: Lưu Quý
Theo thông báo ngày 1/10, Google cho biết việc tạm dừng tiếp nhận báo cáo lỗ hổng sản phẩm thuộc OSS VRP có hiệu lực lập tức. Hãng khuyến khích các nhà nghiên cứu chuyển hướng sang những chương trình săn lỗi khác và cam kết sẽ đưa ra cập nhật mới vào quý I/2027 sau khi tái cấu trúc quy trình.
Quyết định này không ảnh hưởng đến các báo cáo gửi trước ngày 1/10, báo cáo về chuỗi cung ứng, cũng như một số kho lưu trữ dữ liệu thuộc Google Cloud VRP.
Theo Tom's Hardware, động thái của Google phản ánh thực trạng chung đang diễn ra trên toàn ngành công nghệ. Trước đó, cộng đồng quản trị hệ điều hành Linux cũng bị quá tải khi số lượng lỗ hổng CVE do công cụ AI tìm kiếm đạt kỷ lục 2.000 lỗ hổng mỗi phiên bản phát hành, buộc Linux phải dừng hỗ trợ một số trình điều khiển mạng cũ. Tập đoàn Intel gần đây cũng lặng lẽ tạm dừng chương trình thưởng lỗi trị giá lên tới 100.000 USD mỗi phát hiện với lý do tương tự.
Huy Đức