Google ha congelato il programma di bug bounty dedicato ai progetti open source. La motivazione ufficiale parla di un aumento significativo di segnalazioni prodotte con l'ausilio dell'intelligenza artificiale. Dietro la formulazione asciutta c'è un problema che va oltre la singola azienda: il cosiddetto AI slop sta travolgendo i meccanismi di segnalazione delle vulnerabilità, trasformando un canale di fiducia in un flusso di rumore.

I programmi di bug bounty si basano su un equilibrio delicato. Chi scopre una vulnerabilità reale investe tempo e competenze per documentarla e viene ricompensato solo se la segnalazione supera il triage. I manutentori, dal canto loro, filtrano rapidamente le candidature per concentrarsi sulle minacce concrete. Quando un LLM genera rapporti plausibili ma non verificati, quel costo di verifica ricade interamente su chi deve distinguere il segnale dal rumore. Non serve che i falsi positivi siano la maggioranza: basta che aumentino abbastanza da rallentare le code e ridurre la capacità di risposta.

La decisione di Google ha un effetto di secondo ordine che pochi considerano: altera gli incentivi dell'intero ecosistema. I ricercatori indipendenti, che già competono per l'attenzione dei programmi pubblici, si trovano sommersi da segnalazioni sintetiche. Alcuni potrebbero spostarsi verso programmi privati o mercati meno trasparenti, riducendo la disponibilità di segnalazioni pubbliche di qualità. I progetti open source più piccoli, che dipendono quasi interamente da questi canali per scoprire bug, rischiano di restare senza rete di sicurezza. In questo scenario, chi perde non è solo Google: è la capacità collettiva di trovare e correggere vulnerabilità prima che diventino incidenti.

Per chi gestisce infrastrutture self-hosted o valuta deployment on-premise, la vicenda ha un significato meno ovvio. Molti stack locali e air-gapped fanno largo uso di componenti open source: librerie, runtime, strumenti di orchestrazione. Se i programmi di bug bounty che li presidiano rallentano, la finestra di esposizione si allunga. Non si tratta di un problema di cloud contro on-premise, ma di catena di fornitura del software: la qualità della segnalazione pubblica è un bene comune che tiene insieme la fiducia nel software open source. La sua congestione si riverbera sui team che devono pianificare patch e aggiornamenti senza poter contare su un flusso costante di segnalazioni verificate.

La lezione strutturale è semplice da formulare ma difficile da assorbire: il costo marginale della generazione sintetica è crollato, mentre il costo della verifica umana no. Questa asimmetria non si risolve con modelli più grandi o con filtri più aggressivi. Richiede un ripensamento dei meccanismi di reputazione, di identità e di triage. Fino a quel momento, i programmi di bug bounty resteranno uno specchio fedele di una tensione più ampia: l'infrastruttura della fiducia digitale non è ancora pronta per l'era dell'AI generativa.