Generativní modely dramaticky zlevnily produkci věrohodně znějících hlášení o zranitelnostech. Ověřování a oprava ale zůstávají lidsky drahé. Open-source projekty teď přiznávají, že provoz programů odměn už nezvládají, a začínají je tlumit nebo úplně zavírat.

Programy odměn za nalezení chyb fungovaly desetiletí jako nepsaná smlouva mezi bezpečnostními výzkumníky a tvůrci softwaru. Výzkumník investoval čas do analýzy, sepsal kvalitní hlášení s proof-of-concept exploitem, projekt ověřil zranitelnost, vyplatil sjednanou odměnu a zveřejnil patch. Ekonomika fungovala proto, že produkce kvalitního hlášení byla nákladná a počet falešných nálezů přijatelný. Nástup generativních modelů tuto rovnováhu rozbil. Jazykový model dnes na základě obecného popisu kódu dokáže během pár minut vyprodukovat hlášení, které vypadá detailně, používá správnou terminologii, odkazuje na konkrétní funkce a navrhuje konkrétní opravu. Problém je, že podstatná část těchto hlášení popisuje chyby, které ve skutečnosti neexistují, případně jsou tak okrajové, že je projekt nemá zájem řešit.

Pro open-source maintainery se z přílivu AI generovaných reportů, pro které se ujal termín „AI slop", stal palčivý problém. Maintainer musí každý report otevřít, přečíst, prověřit citovaný kód, ověřit, zda popisovaný útok skutečně funguje, a vrátit autorovi odpověď. To u kvalitního, ale falešného hlášení trvá hodiny – stejně dlouho jako u skutečné zranitelnosti. Když podíl falešných hlášení překročí určitou hranici, projektu se ekonomicky vyplatí program pozastavit nebo úplně zrušit. Konkrétní rozhodnutí o pauznutí už oznámila řada projektů, mezi nimi i takové, které byly historicky vzorem otevřeného bug bounty modelu. Maintaineři jako důvod uvádějí, že čas věnovaný prověřování AI slopu už začal ohrožovat běžnou údržbu projektu.