Google、OSS脆弱性報奨プログラムの製品報告を一時停止 AI由来の無効報告急増が背景

Googleのオープンソース向け脆弱性報奨制度「Open Source Software Vulnerability Reward Program（OSS VRP）」で、新規の製品脆弱性（Product Vulnerabilities）の報告受付が10月1日から一時停止されました。Tom's HardwareなどがGoogleの告知をもとに報じています。
停止対象はOSS VRP全体ではなく、製品脆弱性の新規報告です。10月1日より前に提出された報告は引き続き処理され、Supply Chain Compromisesの報告も対象外とされています。また、一部のGoogle Cloud製品に影響するリポジトリについてはCloud VRPが利用できる場合があります。Googleは2027年第1四半期までに今後について更新するとしています。
背景には、生成AIを利用した脆弱性報告の急増があります。Google Bug Huntersは2026年3月19日、OSS VRPにAI生成の報告が大幅に増えたと公式ブログで説明しました。そこでは、脆弱性の発生条件について誤った情報やハルシネーションを含む報告、コード上の問題を指摘していても実際のセキュリティ影響がほとんどない報告が増えているとしています。
Googleは当時、特定の報告についてOSS-Fuzzでの再現やマージ済みパッチなど、より強い証拠を要求するルール変更を実施しました。4月には下位TierでProduct Vulnerabilitiesなどへの金銭報酬・クレジット提供も終了していました。今回の一時停止は、こうした段階的な対策の後に行われた形です。
生成AIそのものによるセキュリティ研究をGoogleが全面禁止したわけではありません。公式ブログでもAIは多数の潜在的な脆弱性を見つける強力な研究支援ツールになり得る一方、出力を研究者自身が検証する必要があると説明しています。