Google は10月1日、オープンソースソフトウェア向けの脆弱性報奨金制度「OSS VRP」で、製品の脆弱性に関する報告の受け付けを停止しました。理由は、AI が作り出した不正確な報告が大量に届き、社内のエンジニアやオープンソースの開発者が本物の脆弱性に向き合う時間を奪われたことです。制度の今後については、2027年第1四半期に改めて案内するとしています。
何が止まり、何が続くのか
OSS VRP は、Google が関わるオープンソースのプロジェクトで見つかった不具合や設計上の問題を報告した研究者に報奨金を支払う仕組みです。今回止まったのは、このうち製品の脆弱性に関する新規の報告です。10月1日より前に届いていた報告は引き続き扱われ、サプライチェーンに関する報告も対象外とされています。また、Google の他の脆弱性報奨プログラムは通常どおり利用でき、Google は参加者にそちらの活用を呼びかけています。
背景にあるのは「AI が作った作り話」の山
Google の説明によると、自動化された報告が大幅に増え、その大半は有効なものではありませんでした。AI が事実と異なる内容を書き込んだ報告も多く含まれていたとされます。存在しない脆弱性や、実際には悪用できない問題が堂々と書かれており、確認するだけでも手間がかかります。報奨金が出る制度だからこそ、AI に報告書を量産させて当たりを狙う人が増えたという構図です。
報告を受ける側は、1件ごとに再現できるかどうかを検証しなければなりません。偽の報告であっても、そう判断するまでに人の目と時間が必要になります。その負荷が、本当に危険な脆弱性の修正を遅らせかねない水準に達したことが、停止の判断につながったようです。
他社の制度にも波及している
同じ問題はほかでも報じられています。Intel も最大10万ドル(約1,500万円)の報奨金を掲げていた制度を停止したと伝えられており、AI 由来の低品質な報告への対処が業界共通の課題になりつつあります。一方で、AI を使って本物の脆弱性を見つける取り組みも進んでおり、AI は攻める側にも守る側にも使われている状況です。
※1ドル150円換算
まとめ
Google は OSS VRP の新規の製品脆弱性報告を10月1日から止め、AI が生成した虚偽の報告が殺到したことを理由に挙げました。サプライチェーン関連の報告や他の報奨プログラムは続き、制度の見直し結果は2027年第1四半期に示される予定です。報奨金で善意の研究者を集める仕組みと、AI による大量投稿をどう両立させるかが、今後の焦点になりそうです。
