AIによって生成された偽の脆弱性報告が氾濫したため、有名なオープンソースプロジェクトであるNode.jsの公式は、HackerOneプラットフォームを通じて脆弱性報告者に現金報酬を支払うことを一時的に停止することを発表しました。

脆弱性ボーナスプラットフォームのHackerOneは、近年多くのユーザーがAIツールを使って大規模にスキャンし、脆弱性報告を提出していると述べています。この行動により、オープンソースコミュニティのバランスが崩れました。脆弱性（または疑似脆弱性）の発見速度は、開発者が修正する速度を大幅に上回っています。さらに深刻なことに、その中には大量の低品質で誤って報告されたものや偽造された報告が含まれています。

image.png

これに対応して、HackerOneの「インターネット脆弱性ボーナスプログラム」（IBB）は新しい報告を受け付けるのを停止しました。これは直接的にNode.jsの報酬の外部からの供給を断ち切りました。

コミュニティのボランティアによって主導されているプロジェクトとして、Node.jsは独自の予算を持っていませんので、ボーナスを支払うことができません。セキュリティ会社Socketは、Node.jsがすでにメカニズムを調整していたと指摘しています。

  • 審査負担: すべての報告は開発者が大量の精力をかけて確認しなければなりません。AIによって生成された低品質な内容は、ボランティアメンテナーや支援者の時間を大幅に浪費しています。

  • 提出基準の引き上げ: AIによる攻撃を防ぐために、プロジェクトチームは以前から提出基準を大幅に引き上げました。しかし、それでも自動化ツールの影響には対応できていません。

プロセスは変更せず、ボーナスのみ一時停止

Node.jsは、ボーナスが一時的に停止されているものの、セキュリティ保障は「縮小されていない」と強調しています。

  • 提出プロセス: 研究者は依然としてHackerOneを通じて脆弱性を提出できます。

  • 処理優先順位: チームは従来の対応速度およびパッチ公開プロセスを維持し、プロジェクトの安全性を確保します。