AIの自動報告が多すぎる Google、公開ソフトのバグ報奨制度を一部停止
OSS VRP（オーエスエス・ブイアールピー）
Googleの公開ソフトの弱点を知らせた人に報奨金を出す制度。
脆弱性（ぜいじゃくせい）
ソフトにある安全上の弱点。
トリアージ（トリアージ）
届いた報告を調べ、重要度や対応の順番を決める作業。
何が起きたか
Google（検索やソフトを作る会社）は、公開ソフトの安全上の弱点を見つけた人に報奨金を出すOSS VRP（Googleの公開ソフトの弱点を報告すると報奨金を受け取れる制度）で、製品の脆弱性に関する報告の受付を10月1日から一時停止しました。Googleは理由を、自動化された報告が大幅に増え、その大半が有効でなかったためだと説明しています。TechCrunchによると、Googleは2027年第1四半期に更新を知らせる予定です。TechCrunchの報道
ここで止まったのは、OSS VRPのすべてではありません。報道によると、停止前に送られた報告や、供給網の問題に関する報告は対象外です。Google Cloudの一部の公開リポジトリーでは、別の制度で報告できる場合もあります。Tom's Hardwareの報道
背景にあるAIの変化
OSS VRPは、Googleが公開しているコードの中に、悪用されるおそれのある弱点がないか、外部の研究者にも探してもらう仕組みです。見つけた人は内容を報告し、Googleが確認して、重要な問題なら報奨金を受けます。報告を受ける側には、コードを読み、実際に問題が起きるかを確かめるトリアージがあります。
AIを使えば、コードを調べ、長い説明を整えた報告を短時間で作れます。ところが、文章が整っていても、実際には弱点がなかったり、起きる条件をAIが作り話していたりします。Googleは3月の公式説明で、AIが作った低品質な報告が急増し、特定の種類では再現の証拠や修正パッチを求めるルールに変えたと説明しました。Googleの公式説明
なぜ重要か
この問題の核心は、作る費用と確かめる費用の差です。AIは候補を大量に出せますが、人は一件ずつ中身を調べなければなりません。誤った報告が増えるほど、研究者や保守担当者は本当に危ない問題の修正に使える時間を失います。安全を高めるための制度が、確認作業で詰まるという逆向きの結果になり得ます。
ただし、AIが役に立たないという話ではありません。Googleの説明も、AIは発見や説明を速める道具になり得るとしたうえで、現実に影響するかを確かめる証拠を重くしています。これからは、AIを使ったかどうかより、報告が再現でき、直すべき問題を示しているかが重視されそうです。
何が確認でき、何が未確定か
確認できるのは、10月1日から製品の脆弱性報告を止めたこと、理由が自動報告の急増と無効な報告の多さであること、2027年第1四半期に更新を出す予定だという点です。一方、無効な報告が何件あったのか、停止によって本物の弱点がどれほど影響を受けたのか、新しい受付条件がどうなるのかは公表されていません。
次に見る点
次の焦点は、Googleがどんな証拠を提出者に求めるかです。再現できる手順や修正案を重くするのか、AIによる自動送信を別の方法で絞るのか。Googleの対応は、報告を受ける他社や公開ソフトの保守現場にも影響します。AIで見つける速さを生かしながら、人が確かめられる量に保つ仕組みをどう作るか。今回の停止は、その設計を見直す合図になりました。
AIのまちがった報告が多すぎて、Googleが受付を一部停止
📰 しっかり版: AIの自動報告が多すぎる Google、公開ソフトのバグ報奨制度を一部停止
AIで作った、まちがった報告がたくさん届きました。Googleは受付の一部を止めました。
OSS VRP（オーエスエス・ブイアールピー）
公開ソフトの弱点を知らせた人に報奨金を出す制度。
脆弱性（ぜいじゃくせい）
ソフトにある安全上の弱点。
コード（コード）
ソフトを動かすための指示文。
💡 ようするに
- Googleは、公開ソフトの弱点を知らせる受付を一部止めました。
- AIで作った、まちがった報告がたくさん届いたためです。
- 2027年のはじめに、次の方法を知らせる予定です。
Google（検索やソフトを作る会社）には、OSS VRP（公開ソフトの弱点を見つけた人に報奨金を出す制度）があります。人がコードを調べ、問題を見つけて報告します。Googleが本当に危ないかを確かめます。
10月1日から、製品の脆弱性（安全上の弱点）の報告が止まりました。Googleは、自動で送られた報告が大きく増え、そのほとんどが有効でなかったと説明しました。TechCrunchの報道
AIは、コードを調べて報告の文章を作れます。だから、報告を作る時間は短くなります。でも、報告が正しいかを調べる時間は短くなりません。まちがった報告が増えると、人は本物の問題を直す前に、たくさんの確認をしなければなりません。
Googleは以前から、AIが作った報告には、実際に問題が起きる証拠が必要だと考えていました。公式ブログでは、再現の手順や修正パッチを重くするルールを説明しています。Googleの説明
今回の停止は、Googleの安全対策を全部やめたという意味ではありません。別の報告制度は続き、供給網に関する報告も対象外だと報じられています。本当の弱点を見つける人が、これからどんな証拠を出せばよいのか。Googleの2027年第1四半期の更新が注目されます。
AIのお知らせが多すぎて、Googleの受付がお休み
📰 しっかり版: AIの自動報告が多すぎる Google、公開ソフトのバグ報奨制度を一部停止
AIが作った、まちがったお知らせがたくさん届きました。
Google（グーグル）
コンピューターのサービスを作る会社。
AI（エーアイ）
人の言葉を作れるコンピューター。
Google（コンピューターのサービスを作る会社）には、ソフトのこわれた所を知らせる受付のような仕組みがあります。
人が、コンピューターの中を見て、直したほうがよい所を探します。
本当に問題があれば、Googleはお礼のお金をくれます。
AI（人の言葉を作れるコンピューター）を使うと、お知らせをたくさん作れます。
でも、まちがったお知らせもたくさんありました。
Googleの人は、一つずつ確かめます。
すると、本当の問題を直す時間が減ります。
だからGoogleは、その受付をしばらく休みました。
ほかの受付は続いています。
来年のはじめに、Googleは次の方法を知らせる予定です。