無効なAIレポートの急増を受け、Googleがオープンソースのバグバウンティを一時停止
ニュース概要
Googleは、オープンソースプロジェクトのセキュリティ脆弱性を発見した研究者に報酬を支払うバグバウンティ制度である「オープンソースソフトウェア脆弱性報奨金プログラム」を一時停止しました。この一時停止は2026年10月1日に発効し、Googleは「自動送信の大幅な増加があり、その大多数は無効なもの」であると説明しています。TechCrunchは2026年10月4日の太平洋時間午後1時31分にこの動きを報じました。今回の件は、AI生成レポートがソフトウェアセキュリティに不可欠な人間のレビュー体制にいかに負担をかけるかを示す、初期の具体的な事例です。
Googleの発表内容
本プログラムは2026年10月1日より一時停止されています。Googleは2027年第1四半期に最新情報を共有すると述べました。同社の通知によると、一時停止の理由は自動送信の大幅な増加であり、その大多数は無効なものであるとのことです。
Googleのエンジニアやオープンソースのメンテナーは、存在しない脆弱性や実行できないコードパスなど、無効または幻覚（ハルシネーション）による詳細を含むレポートに圧倒されていました。オープンソース向けプログラムが停止している間、参加者はGoogleの他のバグバウンティプログラムを利用することが推奨されています。
影響を受けるものと受けないもの
この通知に関する報道によれば、今回の凍結は完全な終了ではありません。10月1日より前に提出されたレポートは引き続き処理されます。サプライチェーンに関するレポートは一時停止の影響を受けず、クラウド関連の一部レポートは「Cloud Vulnerability Rewards Program」を通じて引き続き送信可能です。
AIによる送信がバグバウンティに負担をかける理由
バグバウンティプログラムは手動でのトリアージに依存しています。人間のレビュアーが各レポートを読み、問題の再現を試み、それが真の脆弱性かどうか、また深刻度はどの程度かを判断する必要があります。言語モデルは数秒で洗練された技術的なレポートを生成できますが、同時に実在しない欠陥を記述することもあります。偽のレポート一つひとつを否定するためにレビュアーの時間が奪われ、その時間は本来の発見に充てることができなくなります。
送信数が急増する一方で有効なレポートの割合が低下すると、レビューにかかるコストが発見される価値を上回るペースで膨らみます。オープンソースという環境ではさらに別の要因が加わります。影響を受けるプロジェクトの多くは小規模なチームやボランティアによって維持されており、大量のキューを処理する余力がほとんどない場合があるためです。
予測されていた問題
今回の一時停止は、以前からの警告を受けたものです。2025年7月のTechCrunchの報道では、サイバーセキュリティ専門家がAI生成の「低品質コンテンツ（スロップ）」をバグバウンティプログラムに対する重大なリスクと見なしていると指摘されていました。Googleも当初はより緩やかな対策を試みていました。2026年3月、同社は低品質レポートの流入を抑えるために脆弱性報奨金の基準を調整しました。しかし2026年10月の一時停止は、この特定のプログラムにおいてそれらの変更では不十分だったことを示唆しています。
研究者およびメンテナーへの影響
オープンソース活動における報酬に依存しているセキュリティ研究者は、Googleが最新情報を提供するまで他のプログラムを探す必要があります。オープンソースプロジェクトのメンテナーは、短期的には本プログラムに関連する受信レポートが減少する可能性がありますが、プロジェクトに直接送られる無効なレポートは続くかもしれません。
より大きな教訓はワークフロー設計に関するものです。AIツールは脆弱性の発見に確かに役立ちますが、人間が検証し、再現方法を説明できるレポートのみが有用です。今後は、動作する概念実証（PoC）コード、再現手順、あるいは送信者を制限するレピュテーションベースの仕組みなど、より厳格な送信要件へと移行していく可能性があります。
今後の注目点
重要な時期は、Googleが最新情報の提供を約束している2027年第1四半期です。観察者たちは、より厳密な検証、レート制限、異なる報酬体系といった新たなルールとともにプログラムが再開されるかどうか、そしてAI生成レポートが増え続ける中で他のバグバウンティ運営者が同様の措置を採用するかどうかを注視することになります。
情報源
本記事は、Anthony Ha氏による2026年10月4日のTechCrunchの記事、およびYahoo Tech、daily.dev、Cryptobriefing、Mezha、NewsBytes、Tech AI Magazine、TechBuzz、Complete AI Trainingによる続報に基づいています。