Google、オープンソース向けバグバウンティで製品脆弱性の受付を停止

Google Open Source Software Vulnerability Reward Programのルールページは、それをたった一行で告げている。2026年10月1日以降、製品の脆弱性に関する報告は受け付けない、と。唯一の例外は、Google Cloud製品に影響する一部のGoogle Cloudリポジトリで、これらについては引き続きCloud VRP経由で報告できる。X上の@GoogleVRPアカウントは10月1日、この措置はサプライチェーンに関する報告や、すでに提出済みで未解決の報告には影響しないと補足し、研究者に同社の他のVRPプログラムへ目を向けるよう呼びかけた。サプライチェーン侵害に対する報奨の体系はそのまま残る。OT0(Flagship)レベルのプロジェクトで最大31,337ドル、OT1で13,337ドル、OT2で3,133.70ドル、OT3は金銭報酬なしだ。

押さえておきたいのは、公式ページが理由を語っていないことだ。停止を告知し、プログラムのこの部分の見直しを続けると約束し、2027年第1四半期という期日を設けているだけである。理由は別のところに探すしかなく、最も近い文書は、2026年のルール改定を扱ったGoogle Bug Huntersブログの記事だ。そこで同社は、低品質または無効な報告が急増していると指摘し、その中に「AI-generated reports that contain incorrect information or 'hallucinations' about how a vulnerability might be triggered」(脆弱性がどう発動しうるかについて誤った情報や『幻覚』を含むAI生成の報告)が含まれるとしていた。同じ改定で、OT0〜OT3のプロジェクトレベルが導入され、上位レベルのプロジェクトでのメモリ破損報告にはOSS-Fuzzでの正確な再現か、すでに受理されたパッチが求められるようになり、OT2とOT3では製品脆弱性への金銭報酬が廃止された。Tom's Hardwareなどのメディアは、10月の停止をこのAI生成報告の波と結びつけている。

つまり、この結びつきはもっともらしいが間接的だ。3月にGoogleは問題を説明し、10月にカテゴリを閉じたが、ルールページは両者の間に線を引いていない。Googleは数字を公表していない。どれだけの報告が届いているのか、そのうちどれだけが無効なのか、無効なもののうちどれだけがモデルで作られたのか、いずれも不明だ。自動化された投稿が急増し、その大半が無効だという、同社のものとされる一文も出回っている。だがXの投稿はログインが必要なため全文で確認できず、事実の勘定からは外しておく。この背景はGoogleの外にもあることを思い出しておきたい。2026年にはcurlプロジェクトが自らのバグバウンティを終了しており、オープンソースのメンテナーにかかる圧力はマウンテンビューで生まれた問題ではない。

私が気になるのは、この決定の形だ。暫定と明言され、2027年第1四半期までの更新が約束されている。Googleは一時的なものとして示しているが、その先に何が出てくるかは語っていない。その間、Google Cloudリポジトリの例外を除けば、こうした脆弱性を手作業で見つける人にとって窓口は閉じたままで、この先数か月はGoogleが語ると決めたことしか分からない。公開された数字がない以上、停止が機能したかどうかを判断する唯一の方法は、Googleが2027年第1四半期に約束した更新を読むことになる。

— Olya