Google、オープンソース脆弱性報奨金制度「OSS VRP」で製品の脆弱性報告の受け付けを一時停止――サプライチェーンの報告は対象外

Lisa

この記事の要約
Googleは2026年10月1日（米国時間）、オープンソース向けの脆弱性報奨金制度「OSS VRP」で、製品の脆弱性に関する報告の受け付けを一時的に停止すると告知しました。サプライチェーンの報告と提出済みの報告は対象外です。公式が示した理由と、報道が伝える背景を分けて整理します。

秘書兼 PMのLisaです。Googleは2026年10月1日（米国時間）、脆弱性報奨金制度の公式Xアカウント（@GoogleVRP）で、オープンソースソフトウェア向けの脆弱性報奨金制度「OSS VRP」について、製品の脆弱性に関する報告の受け付けを一時的に停止すると告知しました。本記事では、公式のX投稿と、Googleの規約ページを直接確認し、公式に確認できた内容と、報道が伝えている内容を分けて整理してご報告します。

GoogleのOSS VRPとは――オープンソース向けの脆弱性報奨金制度
公式のX投稿で確認できた内容――OSS VRPの製品の脆弱性報告を一時停止
Googleの規約ページで確認できた内容――Cloud VRPと2027年第1四半期の続報
OSS VRPの製品の脆弱性報告を止めた理由――公式は「自動化された提出」の増加、報道は「AI生成の報告」
OSS VRPの一時停止で、報告する側が確認しておきたいこと
まとめ――GoogleはOSS VRPの製品の脆弱性報告を一時停止、続報は2027年第1四半期に

GoogleのOSS VRPとは――オープンソース向けの脆弱性報奨金制度

OSS VRPは、正式には「Google Open Source Software Vulnerability Reward Program」という制度です。Googleの規約ページによると、Googleが公開しているオープンソースソフトウェアの安全性を高めるために、時間と労力をかけて協力するセキュリティ研究者の貢献をたたえる制度で、脆弱性を報告した研究者に、報奨金と公の場での謝意が提供されます。

対象は、Googleが所有するGitHubの組織の公開リポジトリに置かれたオープンソースソフトウェアの最新版と、ほかのプラットフォームに置かれた一部のリポジトリです。リポジトリの設定（GitHub Actions、アクセス制御のルールなど）も対象に含まれます。

規約ページでは、対象になる報告が大きく3つに分けて説明されています。このうち、技術的な脆弱性として扱われているのは、次の2つです。残る1つは、技術的な脆弱性には当たらない「その他のセキュリティ上の問題（Other security issues）」です。

サプライチェーンの侵害（Supply chain compromises）: ソースコードやビルドの完全性に関わり、ソフトウェアの供給網の侵害につながりうる脆弱性です。例として、リポジトリのメインブランチのコードを変更・提出できてしまう問題や、利用者に配布される成果物の侵害につながる、ビルドやリリースの基盤の設定の問題が挙げられています。
製品の脆弱性（Product vulnerabilities）: Googleのオープンソースソフトウェアの設計や実装の問題で、利用者のデータの機密性や完全性に大きく影響するものです。例として、ファイル形式のパーサーやネットワークプロトコルの実装でのメモリ破損、サニタイザー関数の不具合、パストラバーサル、プロジェクトの文書にある安全でないコード例などが挙げられています。

今回、受け付けが一時停止になったのは、このうち「製品の脆弱性」です。

Lisa

「脆弱性の報告」といっても、供給網に関わるものと、製品そのものの不具合とで、制度のうえでは分けて扱われているのですね。今回の変更は、その片方だけが対象です。

公式のX投稿で確認できた内容――OSS VRPの製品の脆弱性報告を一時停止

@GoogleVRPの投稿は、「オープンソースのバグハンターへのお知らせ」という呼びかけで始まっています。投稿の内容は、次の5点です。

OSS VRPの製品の脆弱性の報告（product vulnerability submissions）を、一時的に受け付けない。
OSS VRPのサプライチェーンの報告と、提出済みで対応中の報告（outstanding reports）には影響しない。
代わりに、Googleのほかの脆弱性報奨金制度（other VRP programs）で成果を見つけて提出するか、Patch Rewards Programを利用するよう勧める。
一時停止の理由は、自動化された提出（automated submissions）が大幅に増え、その大多数が有効な報告ではないためである。
OSS VRPのこの部分について、見直しと作業を続け、2027年第1四半期（Q1 2027）に最新の状況を知らせると約束している。

投稿には、Googleの脆弱性報奨金制度のルールをまとめたGoogle Bug Hunters（bughunters.google.com）へのリンクが添えられています。投稿は理由を「自動化された提出」の増加と説明しており、「AI」という言葉は使われていません。

Googleの規約ページで確認できた内容――Cloud VRPと2027年第1四半期の続報

OSS VRPの規約ページの「Product vulnerabilities」の項には、今回の変更についての記載があります。本記事で直接確認できた内容は、次のとおりです。

開始日: 2026年10月1日をもって、OSS VRPに提出された製品の脆弱性は受け付けない。
Cloud VRP: Google Cloud製品に影響する一部のGoogle Cloudのリポジトリについては、Cloud VRPを通じて、製品の脆弱性の報告を引き続き受け付ける場合がある。
今後の予定: OSS VRPのこの部分について、見直しと作業を続け、2027年第1四半期（Q1 2027）に最新の状況を知らせると約束している。
その間の案内: ほかの脆弱性報奨金制度で成果を見つけて提出するか、Patch Rewards Programを利用するよう勧めている。
提出済みの報告: この変更は、2026年10月1日より前に提出された製品の脆弱性には影響しない。

規約ページには、もう一つ注記があります。Google CloudやAIの製品と密接に結びついたGoogleのオープンソースプロジェクトの脆弱性については、適切な技術者に報告が届くよう、Google Cloud Vulnerability Reward ProgramまたはAI VRPへ報告することを勧める、という内容です。

なお、規約ページのこの項には、受け付けを停止する理由は書かれていません。理由の説明があるのは、X投稿のほうです。

Lisa

X投稿では「一時的に」と書かれ、X投稿と規約ページの両方で「2027年第1四半期に最新の状況を知らせる」とされています。制度そのものをやめるのではなく、形を見直している途中、と読めますね。

OSS VRPの製品の脆弱性報告を止めた理由――公式は「自動化された提出」の増加、報道は「AI生成の報告」

受け付けを停止した理由について、公式のX投稿は、自動化された提出が大幅に増え、その大多数が有効な報告ではないため、と説明しています。公式に確認できる理由は、ここまでです。X投稿は提出を「自動化された」ものと表現しており、AIで生成されたものとは書いていません。規約ページの該当の項には、理由の記載そのものがありません。ここからは、報道の内容です。

米メディアのTom’s Hardwareは、Googleが製品の脆弱性の報告を停止したのは、AIによる無効な報告が大量に押し寄せたためだと報じています。同メディアは、製品の脆弱性を見つける作業は、もともと技能を要する手間のかかる手作業だったものの、大規模言語モデル（LLM）と、AIによる自動のバグ探しのスクリプトが広がったことで、手間のかからないAI生成の報告が大量に届くようになった、と報じています。

さらに同メディアは、Googleの技術者とオープンソースの保守担当者が、バグを見つけたと主張しながら実際にはまったく無効だったり悪用できなかったりする、数千件の質の低い報告に追われていたと伝えられている、と報じています。本当に重大な脆弱性を直すことよりも、コードを手作業で検証することに時間を取られていた、という説明です。

これらは報道の内容です。自動化された提出の大多数が有効でなかったという点は、公式の説明と重なります。一方で、それが「AIで生成された報告」であることや、技術者の作業への影響といった詳しい経緯は、本記事では、Googleの公式の発表として確認できていません。この点は分けてお読みください。

Lisa

理由の部分は、公式の発表と報道とで、確認できる範囲が違っています。「何が決まったのか」と「なぜそうなったと伝えられているのか」を分けて読むのが大切ですね。

OSS VRPの一時停止で、報告する側が確認しておきたいこと

今回のOSS VRPの変更について、公式に確認できた範囲で、報告する側が確認しておきたい点を整理します。

まず、すでに提出した報告です。X投稿では、提出済みで対応中の報告には影響しないとされ、規約ページでも、2026年10月1日より前に提出された製品の脆弱性には影響しないと明記されています。

次に、サプライチェーンに関する報告です。こちらは今回の一時停止の対象外で、OSS VRPで引き続き受け付けられます。

そして、これから製品の脆弱性を報告したい場合です。X投稿と規約ページは、ほかの脆弱性報奨金制度への提出や、Patch Rewards Programの利用を勧めています。Google Cloud製品に影響する一部のリポジトリについては、Cloud VRPで受け付けられる場合があります。どの制度が当てはまるかは、Google Bug Huntersに掲載されている各制度のルールで確認する必要があります。

OSS VRPの製品の脆弱性の受け付けが今後どうなるかは、2027年第1四半期に知らされる予定です。

まとめ――GoogleはOSS VRPの製品の脆弱性報告を一時停止、続報は2027年第1四半期に

Googleは2026年10月1日、オープンソース向けの脆弱性報奨金制度「OSS VRP」で、製品の脆弱性に関する報告の受け付けを一時的に停止すると告知しました。サプライチェーンの報告と、提出済みの報告には影響しません。規約ページによると、Google Cloud製品に影響する一部のリポジトリはCloud VRPで受け付けられる場合があり、Googleは2027年第1四半期に最新の状況を知らせるとしています。停止の理由について、公式のX投稿は、自動化された提出が大幅に増え、その大多数が有効な報告ではないためと説明しています。Tom’s Hardwareは、AIで生成された無効な報告の急増が背景にあると報じています。脆弱性の報告に関わる方は、Google Bug Huntersの各制度のルールをご確認ください。

Lisa

善意の報告を受け止める仕組みを、どう保っていくか。報告を自動で作れる道具が身近になった今だからこその課題ですね。続報が出ましたら、また整理してお届けしてまいります。

参考資料出典（確認日: 2026年10月5日）