ニュース
Google、オープンソースのバグ報奨金を一時停止 AI製の誤報告が大量発生
バグ報奨金プログラムは、社外の研究者の協力で脆弱性を早く見つける仕組みとして多くの企業が採用しています。そこにAIが作った「それっぽいが中身のない」報告が流れ込むと、審査する側の負担だけが増えていきます。Googleの対応は、社外からの技術貢献を受け入れる仕組み全般が抱えるリスクを映しています。
何が起きたか
Googleは、オープンソースソフトウェアの脆弱性を見つけた研究者に報酬を支払う「Open Source Software Vulnerability Rewards Program」を10月1日付で一時停止しました。X（旧Twitter)への投稿とプログラム専用サイトで発表しています。
停止の理由としてGoogleは「自動化された提出物が著しく増加しており、その大半が有効なものではない」と説明しています。Tom's Hardwareの報道によると、Googleの技術者やオープンソースの保守担当者は、無効な報告やハルシネーション（AIが事実でない内容を作り出す現象)を含む報告に圧倒されていたといいます。
Googleは再開の時期を明言しておらず、2027年第1四半期に状況の「更新」を提供すると約束するのみです。停止期間中は、参加者に対してGoogleが運営する他のバグ報奨金プログラムの利用を検討するよう呼びかけています。
背景・解説
バグ報奨金プログラムとは、企業が自社のソフトウェアの欠陥（脆弱性)を見つけた外部の研究者に金銭的な報酬を支払う仕組みです。社内だけでは発見しきれない問題を、世界中の研究者の目を借りて早期に見つけ出す目的で、多くの企業が導入しています。
今回問題になっているのは、生成AIを使って脆弱性報告を自動的に大量生成し、審査に提出する動きです。TechCrunchは、昨年の時点でサイバーセキュリティの専門家が「AI slop」と呼ばれる質の低いAI生成コンテンツがバグ報奨金プログラムにとって深刻なリスクになると警告していたと報じています。報告の件数自体は増えても、中身が事実に基づいていなかったり、実際には存在しない脆弱性を指摘していたりすれば、審査する人間の作業はむしろ重くなります。GoogleのOSS向けプログラムは、まさにこの懸念が現実になった事例といえます。
仕事や業務への影響 — AI Topicaの見方
社外からの報告や提出物を受け付ける仕組みを持つ会社ほど、審査体制の見直しを急ぐべきです。例えば、自社の製品に問い合わせフォームや不具合報告窓口を設け、技術担当者が数人で一次対応している中堅ソフトウェア企業では、AIで自動生成された「それらしい」報告が1日に数十件単位で届くようになれば、担当者の実作業時間はすぐに逼迫します。Googleのように世界的な規模を持つ企業でさえプログラムの一時停止という判断に至った以上、同種の仕組みを持つ企業は同じ事態を他人事と見てはいけません。
対応として有効なのは、提出物の自動スクリーニング強化と、報酬の出し方の見直しです。実際に修正につながった報告にのみ報酬を払う運用や、提出前に一定の実証手順を求める運用に切り替えれば、無効な報告を出すコストが上がり、量だけを狙った提出は減ります。情報システム部門やセキュリティ担当を置く企業は、既存の受付窓口にAI生成物が混ざり始めていないか、今の時点で件数の傾向を確認しておくべきです。半年前と比べて提出件数が急に増えているのに、実際の修正件数が変わっていないなら、それは警戒すべき兆候です。
不確かな点・注意
Googleが「大半が無効」とした提出物の具体的な内容や、AI生成と判定した基準は明らかにされていません。どの程度がハルシネーションによる存在しない脆弱性の指摘で、どの程度が既知の問題の再提出だったのかも不明です。
再開時期についても、2027年第1四半期に「更新を提供する」という約束のみで、プログラムそのものを同時期に再開するとは明言していません。縮小した形での再開や、審査方法を変えた上での再開となる余地も残っています。
また、今回の停止はオープンソースソフトウェア向けのプログラムに限った措置であり、Googleが運営する他の報奨金プログラムへの影響は記事の範囲では触れられていません。他の企業の同種プログラムが同じ問題に直面しているかどうかも、今回の発表だけでは判断できません。