כשכל אחד יכול להפיק "דוח פגיעות" בלחיצת כפתור, הבעיה כבר לא למצוא באגים. הבעיה היא למצוא מישהו שיקרא את הדוחות.
יש משהו כמעט פואטי בכך שכלי הבינה המלאכותית, שאמורים לעזור למצוא חולשות אבטחה, הצליחו בעיקר להפוך את חיפוש החולשות לבלתי אפשרי. גוגל הודיעה שהיא מקפיאה את התוכנית שלה לתגמול על איתור פגיעויות בפרויקטים של קוד פתוח, ולפי הדיווח ב-TechCrunch הסיבה היא גל של הגשות שנוצרו בעזרת AI.
הפרטים הידועים עד כה: התוכנית, Open Source Software Vulnerability Reward Program או בקיצור OSS VRP, הושהתה החל מ-1 באוקטובר. בהודעה של גוגל נכתב כי ההשהיה נובעת מ"עלייה משמעותית בהגשות אוטומטיות, שרובן המכריע אינן תקפות". גוגל מבטיחה עדכון ברבעון הראשון של 2027, ובינתיים מפנה חוקרים לתוכניות הבאגים האחרות שלה.
ההקפאה צרה יותר ממה שהכותרת מרמזת. היא מתייחסת להגשות של פגיעויות במוצרים במסגרת התוכנית. דיווחים שהוגשו לפני התאריך הזה לא נפגעים, וגם דיווחי שרשרת אספקה (supply chain) ממשיכים להתקבל. כלומר גוגל לא נוטשת את האבטחה של קוד פתוח. היא סוגרת את השער שדרכו נכנס רוב הרעש.
התיאור שחוזר בסיקור הוא של מהנדסים ומתחזקי קוד פתוח שמוצפים בדוחות לא תקפים או כאלה שמכילים הזיות, למשל פגיעות שנשמעת משכנעת אבל לא קיימת בקוד. TechCrunch מציינת שכבר ביולי 2025 דיווחה על הסיכון שתוכן שנוצר ב-AI יציף תוכניות באג באונטי.
זו כלכלה פשוטה. תוכנית תגמולים יוצרת תמריץ כספי, וכלי AI מורידים את עלות ההגשה כמעט לאפס. כשהעלות של דיווח אחד קרובה לאפס והסיכוי לתגמול גדול מאפס, הגיוני לשלוח אלפי דיווחים ולקוות שאחד ייתפס. מי שמשלם את המחיר הם בני אדם שצריכים לקרוא כל דוח ולוודא שהוא שטויות, וזו עבודה שדורשת מומחיות ולא נעשית בקלות בעצמה על ידי AI.
זו הקריאה שלנו, לא עובדה מהדיווח: התוכנית לא נפלה בגלל שחסרו באגים, אלא בגלל שמנגנון הסינון האנושי הפך לצוואר בקבוק. זו בעיה שמוכרת גם מחוץ לאבטחה: קורות חיים שנוצרו ב-AI מציפים מגייסים, ומאמרים שנוצרו ב-AI מציפים כתבי עת.
לקורא הישראלי יש כאן שתי נקודות מגע. ישראל היא מעצמת סייבר עם הרבה חוקרי אבטחה, חברות שחיות מגילוי פגיעויות והרבה ציפיות ממענקי באג באונטי כמקור הכנסה. שינוי כללים בתוכנית כזו משפיע על כולם. ובנוסף, כל סטארטאפ ישראלי שבונה כלי AI לאיתור פגיעויות עומד מול אותו אתגר: להוכיח שהממצאים אמיתיים ולא רק משכנעים. יתרון תחרותי כאן יהיה דיוק, לא כמות.
מה יקרה ברבעון הראשון של 2027? כנראה שגוגל תחזור עם כללים מחמירים יותר, אולי דרישה להוכחת היתכנות או סינון מקדים. עד אז נשארת שאלה פתוחה שמעניינת את כל התעשייה: איך מאפשרים ל-AI לעזור באבטחה בלי לתת לו להטביע את מי שצריך לקרוא אחריו.
