Google Hentikan Sementara Program Bug Bounty OSS VRP

Google memutuskan untuk menghentikan sementara program bug bounty Open Source Software Vulnerability Rewards Program (OSS VRP) sejak 1 Oktober 2026. Keputusan ini diambil setelah perusahaan dibanjiri laporan otomatis buatan kecerdasan buatan (AI) yang sebagian besar tidak valid, sebagaimana dilansir dari Detik iNET.

Raksasa teknologi tersebut menjadwalkan untuk memberikan pembaruan informasi mengenai kelanjutan program pelaporan celah keamanan open-source ini pada kuartal pertama 2027.

"Penghentian sementara ini disebabkan oleh peningkatan signifikan dalam laporan otomatis, yang sebagian besarnya tidak valid," kata Google.

Permasalahan terkait laporan keamanan berbasis AI ini telah dideteksi Google sejak awal tahun 2026. Pihak perusahaan sempat memperbarui aturan OSS VRP pada Maret 2026 guna menekan lonjakan dokumen laporan yang dibuat dengan bantuan AI.

Ada dua masalah utama yang diidentifikasi oleh Google dari tren tersebut. Masalah pertama adalah munculnya laporan AI yang mengandung informasi keliru atau halusinasi terkait cara eksploitasi kerentanan.

Masalah kedua mencakup ditemukannya kesalahan dalam kode seperti buffer overflow yang sebenarnya tidak memiliki dampak keamanan. Hal itu terjadi karena kode yang dilaporkan tidak relevan dengan model keamanan proyek atau berada di area yang tidak dapat dijangkau.

Sebelum keputusan penangguhan diambil, Google sempat memperketat syarat pelaporan. Laporan kerusakan memori untuk proyek krusial diwajibkan menyertakan bukti reproduksi menggunakan OSS-Fuzz atau patch yang telah digabungkan, di samping pengurangan nilai hadiah untuk proyek berprioritas rendah.

Kendati OSS VRP dihentikan sementara, peneliti keamanan tetap diarahkan untuk berpartisipasi dalam program bug bounty Google lainnya yang masih beroperasi secara normal.