この記事のポイント
- GoogleはOSS向け報奨金制度で製品の脆弱性報告の新規受付を一時停止。配布・開発経路への攻撃報告は対象外です。
- 自動投稿の急増を受けた見直しで、2027年1〜3月に追加説明する予定。受付済み報告は引き続き扱います。
- Node.jsやcurlも含め、報奨金の有無と報告窓口は別の確認事項。製品ごとの条件と、指摘を裏付ける根拠が重要です。
Googleと他のOSSの公式方針から、脆弱性報告の制度変更を紹介します。報告の受付範囲、報酬、検証できる根拠を分けて整理します。
GoogleはOSSの製品脆弱性報告を一時停止
Googleは2026年10月1日から、公開されたソースコードを利用できるソフトウェア（OSS）を対象とする脆弱性報奨金制度「OSS VRP」で、製品の脆弱性報告の新規受付を停止しました。脆弱性報奨金とは、セキュリティ上の欠陥を報告した人に報酬を支払う仕組みです。
Googleの公式告知は、自動化された投稿が急増し、大半が有効ではなかったことを理由に挙げています。AI生成報告の増加についてはTechCrunchも報じていますが、公式告知の表現は「自動化された投稿」です。
継続する対象には、ソフトウェアの配布・開発経路を狙うサプライチェーン攻撃の報告や、受付済みの報告があります。公式規則では2027年1〜3月に追加説明を行うとしています（受付再開を確約した時期ではありません）。他のGoogleの報奨金制度などへの報告を案内しています。
社内の報告手順は、報奨金と受付窓口を分けて確認する
他のOSSでも制度変更はありますが、原因を一括りにはできません。Node.jsの2026年4月2日の公式説明では、Internet Bug Bountyの停止で外部資金がなくなったため報奨金を停止したとしています。報告の受付・確認は続けています。
通信ツールcurlの2026年10月5日時点の方針も報奨金を設けていませんが、HackerOne経由の報告窓口を案内しています。同時に、AIが作った長文をそのまま貼らず、自分の言葉で簡潔に説明するよう求めています。
日本企業でOSSを利用する担当者も、報酬の有無と分けて、利用製品ごとの受付先と条件を確認するとよいでしょう。AIで報告文を作る場合も、人が書く場合と同じく、再現手順や影響範囲を説明できる内容に整える必要があります。
まとめ: 受付条件と報告の根拠を分けて確認する
OSSの脆弱性を報告する場合は、対象製品の公式窓口で、受付範囲と報奨金の条件を別々に確認するとよいでしょう。報奨金の停止が、報告窓口の閉鎖を意味するとは限りません。
AIを診断に使うチームでは、対象バージョン、再現手順、影響範囲を説明できるかが報告前の確認点になります。根拠が不足する指摘を差し戻す基準を開発・セキュリティ担当で共有する方法が考えられます。
診断を支援する技術の例は、脆弱性の発見・修正に特化したGemini 3.8 Flash Cyberの記事でも紹介しています。
AIが指摘した件数と、人が検証できた件数を区別すると、報告する価値のある内容を判断しやすくなります。受け手が確認できる根拠を整えることを、診断から外部報告までの流れに含めるとよいでしょう。
※2026年10月5日時点の情報です。受付条件は各制度の公式情報で確認できます。
