Google Narrows Open Source Bug Bounty Amid Wave of Invalid Automated Reports
2026/10/05 SecurityWeek — Google は、Open Source Software Vulnerability Reward Program (OSS VRP) における製品の脆弱性の報告受付を一時的に停止した。自動化された報告が大幅に増加し、その大半が無効であることを受けた措置だと、同社は説明している。10月1日に X で発表された、この一時停止の対象となるのは製品の脆弱性のみであり、すでに提出されている報告や、OSS VRP のサプライチェーンに関する報告には影響しない。同社はプログラムのページの更新で、「この変更は、2026年10月1日より前に提出された製品脆弱性には影響しない」と説明している。
一部の製品の脆弱性については、別のプログラムで引き続き報告対象となる可能性がある。Google は、「Google Cloud 製品に影響を及ぼす一部の Google Cloud リポジトリについては、Cloud VRP を通じて製品脆弱性の報告を引き続き受け付ける場合がある」としている。
同社は、他の脆弱性報奨金プログラムへの影響を確認した上で、該当するプログラムに発見した脆弱性を報告するよう、バグ・ハンターに求めている。オープンソース・プロジェクトのセキュリティを積極的に改善する取り組みに報奨金を提供する Patch Rewards Program も、研究者は利用できる。
2022年に導入された OSS VRP は、Google のオープンソース・プロジェクトで脆弱性を発見した研究者に対して、報奨金を支払うプログラムである。脆弱性の発見に AI ツールを利用するケースが増加する中、Google は今回の OSS VRP の一時停止に先行して、2026年5月の時点で Chrome／Android の報奨金プログラムを変更している。
Google は、「OSS VRP の、この部分については再構成／改善を継続し、2027年 Q1 に最新情報を提供する」と説明している。
Chrome のバグ・バウンティでは、脆弱性の実在を具体的に証明する簡潔な報告を重視するようになり、標準報奨金が引き下げられているが、Android については、AI ツールによる発見が難しい脆弱性を優先すると、同社は説明している。また、ゼロクリックで永続性を確保できる Pixel Titan M Exploit に対する最高報奨金は、100万ドルから 150万ドルへ引き上げられた。
その一方で、2026年3月には、HackerOne が運営する Internet Bug Bounty (IBB) プログラムも新規報告の受付を一時停止した。AI を利用する脆弱性発見の速度や件数が、オープンソース・コミュニティの修正対応能力を上回ったことが理由とされている。
Google の Open Source Software Vulnerability Reward Program (OSS VRP) における製品脆弱性の報告受付が、一時停止された背景と影響がまとめられています。近年、AI ツールの普及に伴い自動化された報告が急増していますが、その多くが無効であり、確認や精査を行う運用の負荷が高まったことが背景にあります。これによりバグ・ハンター側の報告機会が一時的に制限される影響が生じていますが、Google Cloud リポジトリ向けの Cloud VRP や Patch Rewards Program などの代替プログラムを活用した継続的な対応が推奨されます。
You must be logged in to post a comment.