Google、AI生成レポート急増でオープンソース製品脆弱性報奨金を一時停止

2026年10月1日、Googleはオープンソースソフトウェア脆弱性報奨金プログラム（OSS VRP）における新規製品脆弱性の受付を一時的に停止すると発表した。2027年第一四半期までに詳細な更新を行うとしたが、今回の停止は製品脆弱性のストリームに限定され、Googleが運営する他のバウンティプログラム全体が停止したわけではない。

停止対象と除外範囲

この中止はOSS VRPの製品脆弱性カテゴリのみに適用される。他のGoogleバウンティトラック、たとえばクラウド脆弱性報奨金プログラムは引き続き報告を受け付けており、OSSサプライチェーンの提出も影響を受けない。10月1日以前に報告された脆弱性は引き続き対象となり、Google Cloudリポジトリ内のクラウド製品に影響する欠陥は別途のクラウドVRPで取り扱われる。

社内分析によると、AI生成・自動化された報告が「大幅に増加」し、その大半が無効と判断されたことが停止の要因とされた。大量の無効レポートにより、オープンソースのメンテナは実際の脆弱性修正ではなく、架空の欠陥を再現し却下する作業に時間を取られた。

AI生成ノイズが問題化した背景

スキャンやレポート作成のコストが下がったことで、脆弱性研究が民主化され、より多くの研究者が実際の欠陥を発見できるようになった。一方で、同じコスト低減が品質の低い提出物を自然に除外していたバリアを取り除き、自動化ツールが人手の介在なしに何千件もの合成レポートを生成できるようになり、管理者が処理すべきノイズが急増した。

• 自動スクリプトが大量にレポートを生成
• 大規模言語モデルが信憑性のある偽コードパスを作成
• 研究者が手動検証なしで提出可能
• メンテナは各報告の再現と却下に時間を割く必要がある

多くがボランティアであるオープンソースメンテナは、無効レポートの増加により本来のセキュリティ作業からリソースが奪われたと報告している。架空の欠陥を再現する時間はパッチ開発の遅延を招くだけでなく、コミュニティ貢献者の燃え尽き症候群も加速させた。

Googleの対応と今後の方針

Googleは今回の停止はOSS VRPの該当部分を再構築するまでの一時的措置であると明言した。現時点で代替の検証ルールは公表されていないが、プログラム自体が永久に終了するわけではない。今後は再現可能な証拠、検証済みの影響、そして人間によるレビューを必須とする、より厳格な受理基準を導入する方針だ。

TechCrunchとTom’s Hardwareは、Linuxやその他のオープンソースエコシステム全体が低品質なバグ報告に圧倒されつつあるという広範な課題に起因すると報じている。両媒体は同一のタイムラインと理由を伝えているが、他プログラムに関する追加の主張はそれぞれの媒体の見解に限られる。

外部からの脆弱性開示に依存するセキュリティチームにとって、この停止は内部の審査プロセスを強化する契機となる。再現可能な証拠、明確な影響記述、そして手動レビューをチケット化前に要求することで、AI生成ノイズを除外し、分析担当者が幻影的な脅威に追われるリスクを低減できる。

また、バウンティプラットフォームとオープンソースプロジェクト間の連携強化も求められる。妥当な報告の定義を明示し、幻覚的レポートを自動的にフラグ付けする事前スクリーニングを導入すれば、メンテナの負担を軽減しつつ、バグバウンティエコシステムの活性化を維持できる。

日本国内の企業や団体がオープンソースセキュリティプログラムに参加している場合、今回の停止は脆弱性管理フローの見直しを迫る。GoogleのOSS VRPへ製品脆弱性を提出する際は、検証に要する時間が長くなることを想定し、証拠が豊富な報告を優先するべきだ。また、重要な発見についてはクラウドVRPやプロジェクトメンテナとの直接協調といった代替チャネルを活用し、一定期間の報奨金受領遅延を受け入れつつ、質の高い開示に注力する機会と位置付けることが望ましい。