Google Hentikan Sementara Program Bug Bounty Open Source Akibat Banjir Laporan AI

Apa Itu Program Bug Bounty Google OSS VRP?

Program Open Source Software Vulnerability Rewards Program (OSS VRP) adalah inisiatif Google untuk mendorong peneliti keamanan menemukan dan melaporkan celah keamanan di proyek-proyek open source milik Google. Proyek-proyek ini mencakup kode-kode fundamental seperti Go, Angular, Fuchsia, dan berbagai basis kode Free and Open Source Software (FOSS). Sebagai imbalannya, pelapor yang berhasil memverifikasi kerentanan akan menerima hadiah uang tunai dari Google. Program ini dirancang untuk memperkuat keamanan ekosistem open source yang menjadi fondasi banyak teknologi modern.

Lonjakan Laporan dari AI Generatif

Masalah muncul ketika Google mengamati peningkatan signifikan dalam jumlah laporan kerentanan yang dihasilkan oleh AI generatif. Meskipun Google tidak melarang laporan yang dibuat oleh AI, volume laporan tersebut menjadi sangat besar sehingga tim internal Google kewalahan dalam melakukan review dan verifikasi. Laporan otomatis ini, meski berpotensi menemukan celah, seringkali memerlukan validasi manual yang memakan waktu dan sumber daya, membebani tim keamanan Google.

Penghentian Sementara dan Rencana ke Depan

Akibat kondisi ini, Google secara resmi menghentikan sementara penerimaan laporan baru untuk OSS VRP mulai 1 Oktober 2026. Laporan yang telah masuk sebelum tanggal tersebut masih akan diproses. Google menyatakan bahwa program ini nantinya akan diformat ulang untuk beradaptasi dengan perubahan yang terjadi akibat semakin banyaknya laporan otomatis. Informasi lebih lanjut mengenai masa depan OSS VRP diharapkan akan diumumkan pada kuartal pertama 2027.

Pengecualian dan Alternatif Program

Menariknya, Google tidak sepenuhnya menutup semua program bug bounty miliknya. Beberapa jenis laporan masih mendapatkan pengecualian, seperti celah pada supply chain dan kerentanan yang sangat berbahaya. Google juga mengarahkan para peneliti ke program VRP lain yang masih menerima laporan serta Patch Rewards Program yang berfokus pada kontribusi perbaikan kode.

Tantangan Serupa di Industri

Fenomena ini bukan hanya dialami oleh Google. Proyek-proyek besar lainnya seperti Microsoft Edge, Linux, dan sejumlah inisiatif open source lain juga disebut menghadapi peningkatan kontribusi atau laporan yang dibuat menggunakan AI. Beberapa proyek bahkan memilih untuk membatasi kontribusi yang berasal dari AI karena kewalahan dalam proses verifikasi. Hal ini menunjukkan bahwa industri keamanan siber secara keseluruhan sedang bergulat dengan implikasi dari adopsi AI generatif dalam penemuan kerentanan.

Kesimpulan

Penghentian sementara program bug bounty Google OSS VRP menjadi cerminan tantangan baru dalam dunia keamanan siber. Sementara AI dapat mempercepat identifikasi potensi kerentanan, verifikasi manusia tetap krusial dan menjadi hambatan ketika volume laporan otomatis melonjak. Ke depan, kita mungkin akan melihat lebih banyak program bug bounty yang mengadopsi kebijakan dan struktur baru untuk mengelola kontribusi dari AI, memastikan efisiensi tanpa mengorbankan kualitas dan keamanan. Tetap waspada dan ikuti perkembangan terbaru di Merdeka Siber!