AI bắt đầu “ăn cắp lông cừu”: Node.js bị báo cáo lỗ hổng giả mạo buộc phải tạm dừng thưởng tiền

AI có thể viết mã, có thể kiểm tra mã, giờ đây nó còn có thể tạo ra các báo cáo lỗ hổng giả mạo.
Ngày 13 tháng 4, HackerOne chính thức tạm dừng “Chương trình thưởng lỗ hổng Internet” (IBB) đã hoạt động 14 năm, không nhận thêm các báo cáo lỗ hổng mới. Nguyên nhân bên ngoài là do điều chỉnh chiến lược nền tảng, nguyên nhân thực sự chỉ có một: các báo cáo lỗ hổng giả mạo do AI tạo ra đã làm quá tải người duy trì.
HackerOne nói chính xác: Công cụ AI khiến tốc độ phát hiện lỗ hổng vượt xa tốc độ sửa chữa, nền tảng tràn ngập các báo cáo chất lượng thấp, báo cáo sai hoặc giả mạo, cân bằng cộng đồng mã nguồn mở bị phá vỡ hoàn toàn.
Và người đầu tiên chịu ảnh hưởng chính là Node.js.
Sau đó, chính thức thông báo của Node.js cho biết: Do chương trình thưởng lỗ hổng của HackerOne tạm dừng hoạt động, dự án sẽ ngừng thưởng cho người báo cáo lỗ hổng. Là một dự án mã nguồn mở do cộng đồng tình nguyện điều hành, Node.js không có ngân sách riêng để duy trì quỹ thưởng, khi nguồn tài trợ bên ngoài bị cắt, thưởng sẽ bị ngừng ngay lập tức.
Thực tế, trước khi HackerOne chính thức tạm dừng, Node.js đã phải điều chỉnh một vòng. Công ty an ninh Socket chỉ ra rằng, Node.js trước đó đã nâng cao đáng kể ngưỡng gửi báo cáo, nhưng hoàn toàn không thể chống lại làn sóng công cụ AI — mỗi khi nhận được một báo cáo, các tình nguyện viên duy trì phải bỏ ra nhiều công sức để xác minh, kết quả là chín trong mười báo cáo do AI tạo ra.
Hơn nữa, Node.js không phải là dự án đầu tiên sụp đổ.
Tháng 1 năm nay, người sáng lập cURL Daniel Stenberg đã tuyên bố chấm dứt chương trình thưởng lỗ hổng, cùng lý do: trong vòng một tuần, nhóm nhận được 7 báo cáo “giả mạo” do AI tạo ra trong 16 giờ, ngôn ngữ bên ngoài có vẻ nghiêm chỉnh, cấu trúc đầy đủ, trông có vẻ hợp lý, nhưng sau xác minh thủ công thì toàn là rác rưởi. Ông gọi loại nội dung này là “AI Slop” — tưởng chừng hợp lý nhưng thực chất là rác thải dư thừa không có giá trị.
Điều kỳ quặc của chuyện này là: cơ chế thưởng lỗ hổng vốn dĩ nhằm khuyến khích nghiên cứu an ninh chất lượng cao bằng tiền thật, nhưng AI đã hạ thấp ngưỡng gửi báo cáo xuống bằng không — dùng AI chạy qua mã nguồn, tự động tạo ra hàng chục báo cáo trông có vẻ hợp lý, rồi gửi đi mà không cần suy nghĩ, chỉ cần một báo cáo trúng là đã thắng. Các người duy trì bị ngập trong đống báo cáo rác, thật sự lỗ hổng quan trọng thì không còn thời gian để kiểm tra. $ETH