Google、OSSバグ報奨金を一部停止　AIによる無効報告が急増

Googleは、オープンソースソフトウェアを対象とするバグ報奨金制度「OSS VRP」のうち、プロダクトの脆弱性報告の受け付けを2026年10月1日付で停止した。米TechCrunchが10月4日に報じた。Googleは理由について「自動化された投稿が大幅に増え、その大半が有効ではない」と説明している。今後の扱いについては、2027年第1四半期に続報を出すとしている。

背景

バグ報奨金制度では、外部の研究者がソフトウェアの脆弱性を見つけて報告すると、企業や団体が報奨金を支払う。届いた報告は担当者が1件ずつ再現し、本当に脆弱性かどうかを検証するため、件数が増えるほど審査の手間も膨らむ。生成AIの普及で脆弱性報告らしい文章を手軽に作れるようになり、検証に耐えない報告が各地の制度に送られるようになった。

詳細

TechCrunchによると、今回の停止はGoogleのオープンソース向け報奨金制度に限られ、同社は参加者に対して、ほかのバグ報奨金プログラムを利用するよう案内している。Tom's Hardwareは、止まったのはプロダクト脆弱性の報告で、サプライチェーンに関するOSS VRPの報告は影響を受けないと報じた。Googleは、Google Cloud製品に影響する一部のGoogle Cloudリポジトリのプロダクト脆弱性については、Cloud VRPで受け付ける可能性があるとしている。

停止の直接の理由は報告の質にある。Googleは声明で、自動化された投稿の大半が有効ではないと述べた。Tom's Hardwareによれば、Googleのエンジニアとオープンソースのメンテナーは、無効な報告やハルシネーションを含む報告の山に対応しきれなくなっていたという。ハルシネーションは、生成AIが事実と異なる内容をもっともらしく出力する現象を指す。存在しないコードや再現できない手順が書かれていても、受け取った側は実際に確かめるまで真偽を判断できない。

TechCrunchは配信時の要約で、AIが作った粗悪な投稿がバグ報奨金制度を圧倒しつつあるとまとめている。同メディアは2025年7月の時点で、AIが生成した報告が業界全体のバグ報奨金制度にとってリスクになると指摘していた。同じ時期には、通信ツール「curl」の作者Daniel Stenberg氏が報奨金の廃止を検討していると英The Registerが報じている。

The Registerによると、2025年にcurlへ届いたセキュリティ報告のおよそ20%がAIによる低品質な報告で、7月上旬の報告のうち実際の脆弱性は5%しかなかった。1件の審査には3〜4人が関わり、1件あたり30分から3時間を費やすという。対応にあたるセキュリティチームは7人で、2019年の制度開始以来、81件に計9万ドル超を支払ってきたと報じられている。Stenberg氏は対策として報告の有料化や金銭報酬の廃止を挙げたが、それで問題が解決するかは確信が持てないとしていた。

Googleは2027年第1四半期に今後の扱いを更新するとしており、受付再開の時期や条件はまだ示されていない。