2026年10月05日 11時55分セキュリティ

AIによるバグ報告が爆増したためGoogleがバグ報奨金プログラムを一時停止

Googleが提供するオープンソースソフトウェアを対象としたバグ報奨金プログラムの「Google Open Source Software Vulnerability Reward Program(Google OSS VRP)」が、2026年10月1日以降は製品脆弱(ぜいじゃく)性の報告を受け付けなくなったと報告しています。

📢 PSA for open-source bug hunters

We are temporarily no longer accepting OSS VRP product vulnerability submissions. This does not impact OSS VRP supply chain reports, or any outstanding reports. As an alternative, we encourage you to find impact across our other VRP programs and submit there instead, or pursue the Patch Rewards Program.

Why is this happening? This pause is due to a significant rise in automated submissions, the vast majority of which are not valid. We will continue to reformat and work on this aspect of the OSS VRP and commit to giving an update in Q1 2027.

https://t.co/nQEkHVfbHS
— Google VRP (Google Bug Hunters) (@GoogleVRP) October 1, 2026

Google Open Source Software Vulnerability Reward Program Rules - Rules - Rules & Rewards - Google Bug Hunters
https://bughunters.google.com/about/rules/open-source/google-open-source-software-vulnerability-reward-program-rules#product-vulnerabilities

Google freezes open-source bug bounty program amid flood of invalid AI slop submissions — product flaw submissions halted until 2027 as maintainers drown in hallucinations | Tom's Hardware
https://www.tomshardware.com/tech-industry/artificial-intelligence/google-suspends-part-of-the-oss-vrp-bug-bounty-program-due-to-an-influx-of-invalid-ai-submissions-product-vulnerability-submissions-ended-october-1

Google froze its open source bug bounty program due to a 'significant rise' in AI submissions | TechCrunch
https://techcrunch.com/2026/10/04/google-froze-its-open-source-bug-bounty-program-due-to-a-significant-rise-in-ai-submissions/

Google OSS VRPは、Googleが管理するオープンソースプロジェクトの脆弱性を発見・報告したセキュリティ研究者に報酬を支払うというバグ報奨金プログラムです。Google OSS VRPにおいて、製品脆弱性報告は、Googleの公開リポジトリ内のコードの欠陥、論理的な欠陥、設計上のバグに焦点を当てています。

Google OSS VRPのルールページで、Googleは「2026年10月1日以降、製品脆弱性の報告を受け付けなくなった」と報告しました。ただし、Google Cloud製品に影響を与える一部のリポジトリについては、Google Cloud VRPを通じて製品脆弱性に関する報告を引き続き受け付ける場合があるそうです。Googleは「引き続き再フォーマットと改善に取り組み、2027年第1四半期に最新情報をお知らせします」と記しています。

テクノロジーメディアのTom's Hardwareによると、これまで脆弱性報告は骨の折れる作業でしたが、AIの普及に伴いコストおよび労力は大幅に削減されたそうです。Googleのエンジニアやメンテナーの元にはAIによるバグ報告が急増しており、その多くが実際には無効だったり悪用不可能なものであったりと、役に立たないものも含まれている模様。そのため、脆弱性を修正するよりもコードの手動検証に多くの時間がかかるようになっているため、プログラムを一時停止せざるを得なくなったとTom's Hardwareは指摘しています。

なお、AIによるバグ報告の急増で、バグ報奨金プログラムを停止しているのはGoogleだけではありません。

オープンソースのネットワークツール「cURL」の開発チームは、2026年1月に「バグ報奨金プログラム」を停止すると発表。

AIによる低品質な脆弱性レポート連発でcURLがバグ報奨金プログラムを停止 - GIGAZINE