一時停止の背景
Googleは10月1日付で、Go、Angular、Protocol BuffersといったオープンソースプロジェクトのOSS脆弱性報奨金プログラム(OSS VRP)を一時停止した。同社は「自動化された送信の大幅な増加があり、その大多数が有効ではない」と説明しており、担当エンジニアやオープンソースメンテナーがAIによって生成された幻覚(ハルシネーション)混じりの無効な脆弱性報告の対応に追われ、負担が限界に達していたことが背景にある。TechCrunchは昨年の時点で、AI生成コンテンツがバグ報奨金プログラムに深刻なリスクをもたらしうると警告しており、今回の事態はその懸念が現実化した形だ。
広がるAIスロップ問題
バグ報奨金制度は本来、外部の研究者が発見した脆弱性を企業が金銭的に評価し、ソフトウェアの安全性向上につなげる仕組みだが、生成AIの普及によって「もっともらしく見えるが実際には存在しない脆弱性」を自動生成し大量投稿することが容易になった。こうした、いわゆる「AIスロップ」と呼ばれる低品質な自動生成レポートは、一見専門的な体裁を整えているため選別に人手と時間を要し、本来対応すべき実在の脆弱性報告の審査を圧迫する。Googleのように大規模かつ著名なOSSプロジェクトを多数抱える組織ほど、こうした無効な報告の集中砲火を受けやすい構造になっていると見られる。
今後の見通し
Googleは2027年第1四半期をめどに、プログラムの運営方針についての「更新」を提供すると約束しており、それまでの間、参加希望者には同社が運営する他の報奨金プログラムへの参加を呼びかけている。一時停止の具体的な期間や再開時の審査体制の変更内容については明らかにされておらず、AI生成報告をどう選別するかという課題への対応が、今後の業界全体の報奨金プログラム運営のあり方を左右する試金石になりそうだ。