Nyílt konfliktus alakult ki az FFmpeg fejlesztői és a Google között, miután a Google Project Zero és a DeepMind közös AI-eszköze, a Big Sleep sebezhetőséget jelentett egy őskövület formátumban: a LucasArts Smush kodekben.
A baj nem a buggal, hanem a Google folyamatával van: a Google Project Zero 2025-ös „Reporting Transparency” szabályai szerint egy héten belül nyilvánosságra hozzák, hogy sebezhetőséget találtak egy adott projektben, elindul a 90 napos disclosure-óra, és név szerint megnevezik az érintett projektet – függetlenül attól, hogy egy pár fős, önkéntes csapatról van szó, amelynek nincs vállalati szintű kapacitása ezek azonnali kezelésére. Az FFmpeg fejlesztők a levelezőlistán („fuzzer and security issues / Big Sleep” thread) és X-en már nyíltan „CVE slop”-nak nevezik az ilyen, gyakorlatban alig kihasználható hibák köré épített CVE-gyártást.
A hibákat ettől függetlenül javítják – erre példa az avcodec/exr patch, „Found-by: Google Big Sleep” megjelöléssel –, de egyre hangosabb az üzenet: ha a Google AI-val tömegesen túrja fel a kódot, és elvárja a gyors, „enterprise” szintű reakciót, akkor finanszírozza is az FFmpeg-et. Ha pedig nem fizet, akkor a fejlesztők szerint itt lenne az ideje visszavenni az AI-generált CVE-esőből – ahogy azt a The New Stack összefoglalója is kiemeli.
(A cikk nyomokban Mesterséges Intelligencia által szolgáltatott adatokat tartalmaz, így a tartalmát érdemes duplán ellenőrizni!)