Googleは、オープンソースソフトウェアを対象としたバグ報奨金プログラムを一時停止すると発表した。10月1日時点で停止済みとなっており、再開については2027年第1四半期に改めて方針を示すとしている。
停止の理由として、AIが自動生成した脆弱性報告の件数が「大幅に増加」したことを挙げている。Googleによれば、こうした報告の大半は実際には有効な脆弱性ではなく、AIによる「幻覚(ハルシネーション)」を含む内容も多いという。急増した報告の確認作業がGoogleの担当エンジニアやオープンソースのメンテナーの負担を圧迫したことが、プログラム停止の直接的な要因となった。
セキュリティ専門家の間では、AIが自動生成した質の低い脆弱性報告(いわゆる「AIスロップ」)がバグ報奨金制度を機能不全に陥らせるリスクについて、以前から警鐘が鳴らされていた。今回のGoogleの対応は、その懸念が大手企業の実際の運用にも及んでいることを裏付けた形だ。
Googleは、研究者に対しては同社が運営する他のバグ報奨金プログラムの利用を検討するよう呼びかけている。生成AIの普及に伴い、セキュリティ報告の信頼性確保が業界共通の課題として浮上しつつある。
出典: TechCrunch
