Google、AI報告急増でOSSバグ報奨金を一時停止

米Googleは2026年10月1日、管理下のオープンソースソフトウェア（OSS）を対象とするバグ報奨金プログラム（脆弱性を発見・報告した研究者に報酬を支払う制度）「Google OSS VRP（Googleが管理するオープンソースの脆弱性に対する報奨金制度）」において、製品脆弱性に関する新規報告の受付を一時停止した。生成AIツールを利用した自動作成レポートが急増し、その大半が無効または再現不能な内容だったため、エンジニアによる確認作業の負荷が過大になったことが理由である。Googleはプログラムの運用形式を再設計し、2027年第1四半期に最新情報を公表する方針を示している。

AI生成による低品質レポートがメンテナーの負担に

Googleのバグ報奨金チーム「Google Bug Hunters（@GoogleVRP）」がX上で公開した案内によると、今回の一時停止は「自動生成された報告の急増と、その大半が無効な内容であること」に対応するための措置である。

Google OSS VRPにおける製品脆弱性報告は、Googleが公開するリポジトリ内のコード欠陥や論理バグ、設計上の脆弱性を対象としていた。しかし、米テクノロジーメディアのTom's Hardwareが指摘するように、生成AIツールの普及によって脆弱性報告を作成・提出する労力とコストが大幅に下がった結果、実際には悪用できない机上の欠陥やハルシネーション（AIが事実に基づかない誤った情報を出力する現象）による架空のバグ報告が大量に送りつけられる事態に陥っていた。

担当エンジニアやOSSメンテナーは、本来注力すべき脆弱性修正よりも、無効な報告の手動検証や事実確認に多くの時間を奪われており、プログラムの維持が困難になったとみられる。

影響を受ける範囲と他プログラムの継続状況

今回の受付停止措置はGoogle OSS VRP全体ではなく、一部の報告ルートに限定されている。Googleが公表したルールページおよび公式発表に基づくと、影響範囲は以下の通り整理される。

• ​停止対象​: Google OSS VRPにおける「製品脆弱性（Product Vulnerability）」の新規報告受付（2026年10月1日より一時停止）
• ​影響を受けない対象​: OSS VRPのサプライチェーン関連の脆弱性報告、および停止前に提出済みの未処理（outstanding）レポート
• ​代替窓口​: Google Cloud製品に影響を及ぼすリポジトリについては「Google Cloud VRP」経由で受け付ける場合があるほか、脆弱性修正パッチを提供する「Patch Rewards Program」やその他のGoogle VRPプログラムへの報告が推奨されている
• ​見直し予定​: 2027年第1四半期（Q1）に受付プロセスの再設計を終え、最新方針を発表予定

各社・各OSSプロジェクトにおけるAIバグ報告への対応比較

AIによる低品質な脆弱性報告の急増はGoogle特有の課題ではなく、ソフトウェア業界全体で深刻化している。各組織はプログラムの一時停止や提出上限の設定など、様々な防衛策を講じている。

組織・プロジェクト	実施時期	講じた対策	背景・理由
Google	2026年10月	OSS VRP製品脆弱性の受付一時停止	自動生成報告の急増（大半が無効）、2027年Q1に刷新予定
Apple	2026年8月	研究者ごとのバグ報告提出数に上限設定	殺到するAI生成レポートによるセキュリティチームのトリアージ逼迫
HackerOne	2026年3月	インターネットバグ報奨金プログラムの新規受付停止	AIツールによる報告急増に伴う品質低下とトリアージ遅延
cURL	2026年1月	バグ報奨金プログラムの受付停止	AIが生成した低品質な脆弱性レポートの連続提出

業界への影響と今後の展望

生成AIやコーディングアシスタントの進化は、セキュリティ研究の敷居を下げて潜在的な脆弱性の早期発見に貢献する可能性を秘めている。一方で、現状ではAIが出力したレポートの裏付けを取らずに報奨金目当てで乱発する行為が横行しており、善意のメンテナーやセキュリティ担当者の疲弊を招いている。

GoogleがOSS VRPの再開時期を2027年第1四半期と慎重に設定した背景には、単純な受付再開ではなく、提出前のPoC（概念実証コード）実行義務付けやAIによる事前フィルタリングなど、トリアージ体制の根本的な再設計が必要と判断されたためとみられる。オープンソースエコシステムを支えるバグ報奨金制度が持続可能であり続けるためには、AIを活用する側にも責任ある開示姿勢が求められている。

引用元：GIGAZINE