AIニュース・Google・セキュリティ
Google、AI生成の報告急増でオープンソース向け脆弱性報奨金を一時停止
Googleのオープンソース向け報奨金プログラムでは、AIが生成した無効な報告が殺到したため、製品の欠陥報告の受け付けが保留されています。
Googleは、Open Source Software Vulnerability Reward Program（OSS VRP）への製品の脆弱性報告の受け付けを、2026年10月1日から停止しました。質の低いAI生成の報告が数千件に上ったためだと、Tom's Hardwareが10月3日（土）に報じました。多くの報告は、存在しない、あるいは悪用できない欠陥を書いたもので、メンテナーは本来修正に充てられたはずの時間を、仕分けに奪われました。
停止は部分的です。10月1日より前の報告は影響を受けず、プログラムへのサプライチェーン関連の報告は引き続き受け付けており、Google CloudのVRPが一部のGoogle Cloudリポジトリを扱っています。Tom's Hardwareによると、Googleはこの部分のプログラムを見直すあいだ、2027年第1四半期までに更新を出すと約束しています。
このプログラムは2022年に始まり、報告1件あたり100〜31,337ドルを支払ってきました（Hardware Bustersによる）。同サイトは、GoogleのAIエージェント自体が、オープンソースコードで20件の実際の欠陥を見つけたとも伝えています。Tom's Hardwareによると、Intelは欠陥1件あたり最大100,000ドルを支払っていた報奨金を停止し、Linuxのメンテナーからは、リリースごとのCVE発見件数が過去最多だという報告があります。
AIセキュリティツールを購入するチームにとっての教訓は、件数にあります。AIを使えば、それらしい脆弱性報告を短時間で書けますが、メンテナーがそれを否定するには時間がかかります。
