Googleは、自社のオープンソースソフトウェアを対象とした脆弱性報奨金プログラムを一時停止しました。2026年10月1日からで、理由は自動投稿の「大幅な増加」です。しかも、その大半は有効な報告ではなかったと説明しています。次の方針は2027年第1四半期に示す予定です。AIで報告書が量産できるようになった結果、善意のしくみが受け止めきれなくなった事例です。
背景と文脈
脆弱性報奨金（バグバウンティ）は、ソフトウェアの弱点を見つけて報告した人に報酬を払う制度です。企業は外部の目で安全性を高められます。研究者は成果に応じた収入を得られます。長く機能してきた仕組みでした。
ところが生成AIの普及で、前提が崩れ始めました。AIに脆弱性らしき文章を書かせれば、報告書は数分で作れます。内容が実在しないコードや関数を指していても、文面だけはもっともらしく仕上がります。こうした幻覚（ハルシネーション：AIが事実でない内容をもっともらしく生成する現象）入りの報告が、受付窓口に殺到しました。
TechCrunchは2025年7月の時点で、AI生成の内容が報奨金制度を圧迫する危険を報じていました。今回のGoogleの停止は、その懸念が大企業の公式プログラムを止めるところまで進んだことを示します。
オープンソースの現場では、この問題はすでに身近でした。個人が運営する小さなプロジェクトでは、メンテナーが無償で報告を処理しています。AI生成の怪しい報告が増えると、本物の脆弱性への対応が後回しになりかねません。今回のGoogleの判断は、報告を受ける側の限界を、企業が公式に認めた事例とも読めます。
技術/ビジネス面
Googleの説明では、停止の直接の原因は「自動化された投稿の大幅な増加」です。しかも「その大半が有効ではない」とされています。件数や無効率の具体的な数字は、公表されていません。
ここで問題になるのは、報告の真偽を確かめる人手の費用です。報告を1件受け取るたびに、担当者は再現手順を試し、該当コードを読み、本当に脆弱性かを判断します。書く側はAIで数分、読む側は数十分から数時間かかる状態です。この非対称が、無効な報告の増加をそのまま運営の負担に変えます。
報奨金という報酬の仕組みも、量産を後押しします。1件でも当たれば報酬が出るなら、AIで大量に投げる動機が生まれるからです。制度の設計が善意の個人を前提にしていた点が、いま問われています。
Googleは当面、参加者に他の報奨金プログラムへ移るよう案内しています。停止したのはオープンソース向けの枠だけで、他の制度は動いています。
なお、停止はあくまで一時的な措置とされています。Googleは2027年第1四半期に更新を出すと述べています。それまでに、報告の受付条件や審査の流れを見直す可能性があります。たとえば、事前の登録制や、有効な報告の実績に応じた優先度の設定などが考えられますが、具体策は発表されていません。
AIそのものが悪者というわけではありません。AIを使って実際に脆弱性を見つけ、人が検証して報告する使い方は、すでに成果を上げています。問題は、検証の工程を飛ばして文章だけを量産するやり方です。品質を担保する責任の置き場所が、制度設計の焦点になります。
これからどうなるか
他のオープンソースプロジェクトや企業も、同じ圧力に直面しているはずです。今後は報告者の信頼度に応じた受付、再現できる概念実証（PoC）コードの添付義務、報告者への少額の保証金といった対策が議論されそうです。AI生成を禁止するより、検証済みの報告だけを通す仕組みへ寄る方向が現実的でしょう。
開発者の手元にも関係する話です。自分のリポジトリでセキュリティ報告の受付窓口を開いているなら、テンプレートで再現手順と環境情報を必須にしておくと、無効な報告を早い段階で弾けます。CIで自動検証できるPoC形式を決めておく方法もあります。逆にAIで脆弱性を探す側に回る場合は、人が再現を確認してから送るのが最低限のマナーになります。
2027年第1四半期に示される再開方針は、業界の基準になる可能性があります。
この問題は、報奨金に限りません。採用の応募書類、論文の査読、問い合わせフォームなど、人が目を通す窓口は同じ構図を抱えています。書く側の費用が下がると、確認する側が先に詰まります。
報告を受ける側と送る側の双方が、AI時代の作法を決める段階に入りました。送る側は、自分で再現して確認した内容だけを出す。受ける側は、確認の手間を減らす仕組みを用意する。この両輪がそろわないと、善意の制度は維持しにくくなります。
まとめ
GoogleはAI生成の無効な報告の急増を理由に、OSS向けの脆弱性報奨金を停止しました。報告を書く費用が下がった結果、確認する側の負担が限界を超えた形です。受け付ける側は、再現手順を必須にするなどの備えを考える時期に入っています。
参考リンク
アイキャッチ画像: Photo by Kerde Severin on Unsplash
