Google、OSS製品の脆弱性報奨金を一時停止　無効な自動報告の急増を受け

要点

• Googleは2026年10月1日、オープンソースソフトウェア（OSS）の製品脆弱性に対する報奨金支払いを一時停止した。

• 自動化ツールによる無効な報告の急増が原因で、2027年第1四半期に制度見直しの最新情報が公開される予定だ。

• GoやAngularなどの主要プロジェクトのコード欠陥が対象外となる一方、サプライチェーン侵害への報奨金は維持される。

• 報告者向けには修正パッチへの報酬制度や、Google Cloud・AI向けの別プログラムへの提出が案内されている。

• 米Googleが、自社のオープンソースソフトウェア（OSS）を対象とするバグ報奨金プログラムにおいて、製品の脆弱性に関する報告受け付けと報奨金の支払いを一時停止したことが明らかになった。同社によると、自動化された手法による無効な報告が急増したことが原因だという。GoやAngularといった著名プロジェクトのコード欠陥に対する報奨金が当面の間停止されることになり、制度の再編が進められている。

自動化レポートの急増による制度見直し

Googleは2026年10月1日、X（旧Twitter）の公式アカウントを通じて本措置を発表した。同社は今回の停止を一時的なものとした上で、「自動化された報告が著しく増加しており、その大多数が無効な内容であるため」と理由を説明している。ただし、具体的な報告件数などの数値データや、報告作成に生成AIツールが使われたかどうかについては言及していない。

対象となる制度は「Google Open Source Software Vulnerability Reward Program（OSS VRP）」と呼ばれ、外部のセキュリティ研究者が同社OSSの欠陥を報告した際に報酬を提供する仕組みだ。現在、公式ルールには一時停止の案内が掲示されており、制度の再構築を進めて2027年第1四半期に最新情報を公開すると表明している。現時点で受付再開の具体的な期日は明らかにされていない。

停止された製品脆弱性と維持される報告枠

今回停止された「プロダクト脆弱性」とは、GoogleのOSSにおける設計や実装上の欠陥を指す。具体的には、ファイル解析処理におけるメモリ破壊や、意図しないファイルパスへのアクセスを許すパストラバーサルなど、該当コードを用いたソフトウェアでユーザーデータの機密性や完全性に重大な影響を及ぼすものが該当する。

一方で、ソースコードや公開パッケージの改ざんにつながる「サプライチェーン侵害」への報告は引き続き受け付けられ、報奨金も維持される。書き込み権限の漏洩など、その他のセキュリティ問題も従来通り支払いの対象となる。なお、今回の停止措置は10月1日以降の提出分に適用され、9月30日以前に提出された報告には影響しない。

対象プロジェクトの区分と報奨金の改定

OSS VRPでは対象プロジェクトを重要度に応じて4段階に分類している。製品脆弱性の報奨金が設定されていたのは、最上位の「フラグシップ（Flagship）」とそれに次ぐ「重要（Important）」の2区分のみだった。

GitHub上の公式ルールでは、発表前日の9月30日のコミットで製品脆弱性の報奨金額の記述が削除された。従来はフラグシップで500〜7,500ドル、重要で101〜3,133.7ドルが支払われていたが、現在は対象外となっている。9月中旬時点のリストでは、フラグシップにGo、Angular、Flutter、Bazel、Protocol Buffersなど26件、重要に47件が指定されていた。

なお、継続されるサプライチェーン侵害の報奨金は、フラグシップで最大31,337ドル（最低3,133.7ドル）、重要で最大13,337ドル（最低1,337ドル）、標準（Standard）で最大3,133.7ドル（最低500ドル）となっている。その他セキュリティ問題にはフラグシップで1,000ドル、重要で500ドルが支払われる。第4の階層である低優先度プロジェクトには従来から報奨金は設定されていない。

研究者に案内された3つの代替手段

Googleの通知では、セキュリティ研究者が取れる代替手段として以下の3つの窓口が案内されている。

1つ目は「Cloud VRP」だ。Google CloudリポジトリのうちCloud製品に影響する欠陥は受け付けられる可能性があるが、原則として低優先度製品向けの評価上限（IT3b）が適用される。2つ目は、脆弱性の報告ではなく修正パッチ（不具合を解消する修正コード）の提供に対して100〜15,000ドルを支払う「パッチ報奨金プログラム（Patch Rewards Program）」だ。メンテナーに承認され1カ月間維持されることが条件となる。3つ目は、Cloud VRPやAI VRPなどGoogleの他の報奨金プログラムへの提出である。

なお、報奨金を伴わない形での脆弱性報告を受け付けるかどうかは通知に明記されていない。プロジェクト別の窓口としては、Goが専用メール窓口、Google全体では汎用窓口（g.co/vulnz）を案内する一方、Angularは引き続きBug Huntersサイトを窓口としている。