Googleのオープンソースバグ報奨金プログラム、AI報告増加で一時停止

Googleが10月1日からオープンソースバグ報奨金プログラムを一時停止した。理由は「AI投稿の著しい増加」だ。研究者が見つけたセキュリティ脆弱性に報酬を払うプログラムだったが、AIが生成した低品質で検証不十分な報告が圧倒している状況に、Googleのエンジニアとオープンソースメンテナーがもう対応できなくなった、ということである。

ここで引っかかるのは「バグ報奨金プログラムという、セキュリティ業界の重要な基盤がAI slopに壊されている」という現実だ。従来、このプログラムは本物のセキュリティ研究者を水先案内人にして、企業のセキュリティホールを見つけさせる仕組みだった。ところが今、AIが「報告らしきもの」を大量に生成し、その選別に人間がかかりきりになっている。つまり本来の仕事（脆弱性の検証と修正）より「AIのゴミ分別」に時間をとられている。これはセキュリティの世界では致命的である。見逃された脆弱性が増えるから。業界全体でセキュリティ強度が落ちる可能性がある。

中小企業にとって教訓は単純だ。セキュリティ報告にせよ品質チェックにせよ「自動化ツールに入れて目視を省く」という判断は危険である、ということ。AIの出力は最終形ではなく、人間のフィルターを通す工程が必須になった。半自動化では失敗リスクが増す。むしろ重要なプロセスほど二重三重の確認体制を敷き直すべき時代に入っている。