Google suspende su programa bug bounty de código abierto por la IA

Qué ha ocurrido

Google ha suspendido su programa de recompensas por errores (bug bounty) de código abierto después de un fuerte aumento de informes de vulnerabilidades generados con inteligencia artificial, que han desbordado la capacidad de sus equipos humanos de revisión. La compañía no ha indicado cuándo se reanudará el programa.

Según el reporte de TechCrunch, el volumen de envíos asociados a herramientas de IA se incrementó de forma significativa y superó la capacidad de triaje manual. Cada informe necesita verificación para determinar si describe una vulnerabilidad real, de modo que un flujo mayor de presentaciones, incluidas las de baja calidad, ralentiza el trabajo de los revisores y retrasa la atención a los hallazgos legítimos.

La decisión deja en pausa un canal por el que investigadores externos reportaban fallos en software de código abierto a cambio de recompensas económicas. Hasta ahora, no hay un calendario público para su vuelta.

Por qué importa

La historia va más allá de la seguridad informática. Muestra cómo la IA generativa puede trasladar la carga de trabajo a quienes evalúan el resultado. Crear un informe plausible cuesta cada vez menos, pero verificarlo sigue exigiendo tiempo experto. Cuando la producción se abarata y la revisión no, el cuello de botella se desplaza a la organización que recibe el contenido.

Para los responsables de experiencia, de IA y de transformación digital, el caso es un aviso sobre el diseño operativo. Cualquier servicio que reciba solicitudes, reclamaciones o hallazgos de terceros puede verse afectado si no adapta su filtrado, su capacidad de triaje y sus reglas de entrada a un volumen que la IA puede multiplicar en poco tiempo.

El punto de vista de Renascence

Lo que más suele pasarse por alto es que el problema no es la automatización en sí, sino la asimetría de esfuerzo entre quien envía y quien revisa. Ante un programa de recompensas, el incentivo económico atrae volumen, y ese volumen se vuelve un coste para la organización receptora. Es un patrón clásico de economía conductual: cuando un canal premia la cantidad, el comportamiento se optimiza para la cantidad.

Un programa abierto que paga por cada hallazgo puede convertirse en un sistema que castiga a sus propios revisores. La lección de diseño es que el canal debe filtrar antes de escalar, no después. Un operador centrado en el cliente debería auditar hoy qué entradas puede generar la IA a coste casi cero y reservar la revisión humana para lo que demuestre valor. Cuanto antes se diseñe esa fricción, menos probable será tener que cerrar la puerta por completo.