Intel tạm dừng chương trình săn lỗi nhận thưởng, chuyển sang nền tảng Intigriti và ngừng trả tiền mặt

Theo tin từ IT ngày 20 tháng 9, Notebookcheck đưa tin Intel đã tạm dừng chương trình tiền thưởng tìm lỗi (bug bounty) lâu năm của mình để chuyển sang một cơ chế báo cáo lỗ hổng hoàn toàn mới trên nền tảng Intigriti, trong đó hệ thống mới không còn cung cấp bất kỳ phần thưởng tiền mặt nào. Chương trình trước đây của Intel từng trao thưởng lên tới 100.000 USD (lưu ý của IT: tỷ giá hiện tại tương đương khoảng 672.000 Nhân dân tệ) cho các nhà nghiên cứu phát hiện ra lỗ hổng bảo mật; tuy nhiên, dự án hiện tại của Intel trên nền tảng Intigriti đã được ghi chú rõ ràng là chương trình tiết lộ có trách nhiệm (responsible disclosure program) và đã hủy bỏ tiền thưởng.

Các nhà nghiên cứu vẫn có thể gửi báo cáo về những lỗ hổng phát hiện được trong phần cứng, firmware, phần mềm và các dự án mã nguồn mở của Intel, nhưng những phát hiện này sẽ không còn nhận được thù lao bằng tiền mặt. Chương trình tiền thưởng tìm lỗi phiên bản cũ được khởi động vào năm 2017 theo hình thức mời tham gia và mở rộng cho tất cả các nhà nghiên cứu bảo mật vào năm 2018. Chương trình này đã đạt được hiệu quả đáng kể, giúp khắc phục các lỗi nghiêm trọng trước khi bị kẻ tấn công khai thác.

Chỉ riêng trong năm 2020, gần một nửa số lỗ hổng bảo mật phổ biến (CVE) mà Intel khắc phục đều đến trực tiếp từ chương trình tiền thưởng này. Tiền thưởng trước đây được chia thành bốn cấp độ: lỗ hổng nhẹ là 250 USD (tỷ giá hiện tại khoảng 1.680 Nhân dân tệ), và lỗ hổng nghiêm trọng nhất có thể lên tới 100.000 USD (tỷ giá hiện tại khoảng 672.000 Nhân dân tệ). Ngay từ đầu năm 2025, Intel vẫn cho biết họ đang đánh giá và tối ưu hóa các tiêu chuẩn đánh giá tiền thưởng; do đó, việc đột ngột dừng cơ chế này đã khiến toàn bộ ngành an ninh mạng cảm thấy bất ngờ.

Intel vẫn chưa đưa ra lời giải thích chính thức về việc tạm dừng này, nhưng xu hướng phát triển của ngành cho thấy sự trỗi dậy của trí tuệ nhân tạo (AI) rất có thể là nguyên nhân đằng sau. Gần đây, các dự án mã nguồn mở đã nhận được một lượng lớn báo cáo bảo mật do các công cụ AI tự động tạo ra. Số lượng lỗ hổng CVE tương ứng với mỗi phiên bản nhân Linux đã tăng vọt từ khoảng 500 lên gần 2.000, khiến đội ngũ bảo trì bị quá tải. Người sáng lập Linux, Linus Torvalds, gần đây đã đề cập rằng một lượng lớn nội dung báo cáo trùng lặp do AI tạo ra gần như đã làm tê liệt công việc quản lý danh sách bảo mật. Tương tự, dự án mã nguồn mở Curl cũng từng phải đóng cửa chương trình tiền thưởng tìm lỗi của chính mình do làn sóng các báo cáo gửi tự động kém chất lượng.

Dự án tiền thưởng tìm lỗi Internet trên nền tảng HackerOne cũng đã tạm dừng nhận báo cáo từ đầu năm nay, với thông báo nêu rõ rằng việc sử dụng AI để tìm kiếm lỗ hổng đang phổ biến nhanh chóng, khiến số lượng báo cáo lỗ hổng tăng vọt và làm sụp đổ hệ thống xử lý hiện tại. Rất có khả năng Intel đang đối mặt với vấn đề tương tự: các báo cáo lỗ hổng do AI tạo ra tràn vào quá nhiều, buộc họ phải chọn cách hủy bỏ các ưu đãi tiền mặt để kiểm soát tổng lượng báo cáo. Ở giai đoạn hiện tại, các nhà nghiên cứu thực hiện phân tích bảo mật cho sản phẩm của Intel sẽ không còn nhận được phần thưởng tiền mặt khi gửi kết quả phát hiện lỗ hổng.