「AIスロップ」の殺到を受け、Googleがオープンソースのバグ報奨金制度を一時停止

バグ報奨金制度は脆弱性を見つけるためのものであり、質の低い報告でメンテナーを埋め尽くすためのものではない。自動生成された報告の急増を受け、Googleはオープンソースのバグ報奨金制度への新たな製品脆弱性の報告受付を一時停止した。同社によると、その大半は無効だったという。

10月1日現在、GoogleはOpen Source Software Vulnerability Reward Program（OSS VRP）を通じた新たな製品脆弱性の報告受付を停止している。サプライチェーンに関する報告と未処理の案件は引き続き受け付けており、Googleは制度のこの部分を見直したうえで、2027年第1四半期に更新を予定している。オープンソースソフトウェアに依存するセキュリティ研究者や組織にとって、この一時停止は、AIを活用した脆弱性探索に伴うコストの増大を浮き彫りにしている。報告の生成が高速化する一方で、検証作業がメンテナーにより多くのしかかる可能性があるためだ。

Google、自動生成された報告の大半が無効だったと説明

Google VRPは、「自動生成された報告が大幅に増加した」ことを受けた措置だと説明し、その大半が有効ではなかったと付け加えた。同社は研究者に対し、関連する発見を他の脆弱性報奨金制度を通じて報告するか、代わりにPatch Rewards Programを利用するよう呼びかけた。

Tom’s Hardwareは、Googleのエンジニアやオープンソースのメンテナーが、バグを特定したと主張しながら、実際には無効または悪用不可能な、質の低い報告数千件に圧倒されていたと報じた。報告の中には幻覚による発見を含むものもあり、レビュー担当者は正当な脆弱性に取り組む代わりに、コードの検証に時間を費やすことを余儀なくされたという。

AIによるバグ探索で、トリアージがボトルネックに

Googleは2022年、Go、Angular、Protocol Buffersなどのオープンソースソフトウェアに存在する脆弱性を非公開で報告した研究者に報奨金を支払うOSS VRPを開始した。Help Net Securityは、質の低いAI支援による脆弱性報告への不満が、オープンソースプロジェクトやバグ報奨金制度の間で数カ月前から高まっていたと指摘した。

自動化ツールは報告を迅速に作成できるが、メンテナーは依然として、それぞれの指摘が実在し、悪用可能かどうかを確認しなければならない。自社で情報開示制度や報奨金制度を運営する企業にとって、Googleの一時停止は、どれほど速くAIが生成した報告がセキュリティチームに余分な作業を生じさせ得るかを示している。エンジニアが対応する前に、レビュー担当者は本物の脆弱性と誤検知を切り分けなければならない。

Tom’s Hardwareはまた、AIを活用したバグ探索によって報告数が増加する中、脆弱性報告に「完全に圧倒されている」と語ったLinuxのメンテナーにも言及した。同誌は別途、Intelのバグ報奨金制度の停止も報じたが、IntelはAI生成報告が決定の原因だったとは確認していない。

eWeekが明らかにしたこと

Google Bug HuntersのOSS VRPの規定を見ると、今回の一時停止が制度の一部分にのみ影響することが分かる。サプライチェーンに関する報告、未処理の報告、そして一部のGoogle Cloud関連の脆弱性については、Cloud VRPを通じた報告など、他の選択肢が引き続き利用できる。

研究者は、発見を報告する前にGoogleの残りの制度の対象範囲を確認すべきだ。AIによるバグ探索ツールを評価する企業のセキュリティチームにとって、より広い意味での教訓は、報告数だけでなく、再現可能な発見と、それを検証するために必要な労力を測定することにある。

Googleは、制度のこの部分にどのような変更を加えるかを明らかにしていない。同社は2027年第1四半期に更新を行う予定だ。

AIにノイズを増やさず、より良い結果を得るための無料の6分間 AIとの対話方法コースを試して、より明確なプロンプトを書き、より役立つ回答を得るための簡単な方法を学んでみよう。eWeekの読者は、The Neuron Academyの他のAIコースにも7日間無料でアクセスできる。 すべてのレッスンはこちら →