Teknologiayhtiö Google on joutunut keskeyttämään avoimen lähdekoodin ohjelmistoihinsa liittyvän tietoturvaohjelman tekoälyn avulla tuotettujen ilmoitusten tulvan vuoksi, kertoo TechCrunch.
Google ilmoitti lokakuun alussa, ettei se toistaiseksi ota vastaan uusia ohjelmistojen tietoturva-aukkoja koskevia ilmoituksia haavoittuvuuksia kartoittavan ohjelman kautta.
Ohjelmassa tietoturvatutkijoille maksetaan palkkioita Googlen avoimen lähdekoodin ohjelmistoista löydetyistä haavoittuvuuksista. Tarkoituksena on kannustaa tutkijoita etsimään ja ilmoittamaan tietoturvaongelmista ennen kuin niitä ehditään käyttää hyväksi.
Googlen mukaan ohjelmaan on kuitenkin alkanut tulla niin paljon automaattisesti tuotettuja ilmoituksia, että niiden käsittelystä on muodostunut ongelma.
– Keskeytyksen syynä on automaattisesti tuotettujen ilmoitusten huomattava kasvu. Valtaosa niistä ei ole aiheellisia, Google perustelee päätöstään.
Virheellisissä ilmoituksissa voidaan esimerkiksi väittää ohjelmistossa olevan vakava tietoturva-aukko, vaikka todellisuudessa haavoittuvuutta ei ole olemassa.
Tekoälystä tullut ongelma tietoturvatutkijoille
Tapaus kuvastaa laajempaa ongelmaa, jonka generatiivisen tekoälyn yleistyminen on aiheuttanut ohjelmistojen tietoturvatutkimukselle.
Tekoälytyökaluilla voidaan käydä nopeasti läpi suuria määriä ohjelmakoodia ja etsiä siitä mahdollisia haavoittuvuuksia. Samalla työkalut mahdollistavat valtavien ilmoitusmäärien tuottamisen ilman, että ilmoittaja välttämättä tarkistaa havaintojen paikkansapitävyyttä.
Tietoturvatutkijoiden on silti selvitettävä, ovatko ilmoitetut haavoittuvuudet todellisia. Virheellisten ilmoitusten käsittely kuluttaa siten aikaa, joka voitaisiin käyttää todellisten tietoturvaongelmien korjaamiseen.
Googlen palkkio-ohjelma käynnistettiin vuonna 2022. Palkkiot ovat voineet nousta yli 30 000 dollariin.
Google ei ole kertonut, kuinka paljon ilmoitusten määrä on kasvanut tai kuinka suuri osa niistä on tuotettu tekoälyllä.
Google aikoo uudistaa ohjelmaansa ja kertoa sen tulevaisuudesta vuoden 2027 ensimmäisellä neljänneksellä. Siihen asti tietoturvatutkijoita kehotetaan hyödyntämään yhtiön muita palkkio-ohjelmia.