Google Tangguhkan Program Bug Bounty Open Source Akibat Banjir Laporan AI

Penangguhan Program OSS VRP

Google memutuskan untuk menghentikan sementara penerimaan laporan kerentanan produk dalam program Open Source Software Vulnerability Reward Program (OSS VRP) pada awal Oktober 2026. Keputusan ini diambil setelah tim peninjau keamanan internal dan pengelola repositori terbuka kewalahan memproses lonjakan laporan yang dihasilkan oleh alat otomatisasi berbasis kecerdasan buatan.

Program sayembara kerentanan (bug bounty) ini awalnya dirancang untuk memberi penghargaan finansial kepada peneliti keamanan independen yang menemukan celah valid pada proyek kode terbuka Google. Namun, maraknya penggunaan model bahasa besar untuk memindai kode secara massal memicu fenomena yang disebut tim keamanan sebagai badai laporan (reporting storms).

Ribuan berkas yang masuk berisi temuan halusinasi, kesalahan analisis statis, atau laporan teoritis tanpa bukti eksploitasi nyata (proof of concept). Kondisi ini menguras waktu kerja teknisi yang harus memverifikasi setiap laporan secara manual.

Cakupan dan Pengecualian Penangguhan

Kebijakan pembekuan ini tidak berlaku untuk seluruh saluran pelaporan keamanan Google. Perusahaan menetapkan batasan yang jelas selama masa jeda:

• Laporan yang ditangguhkan: Pengajuan celah keamanan produk baru pada proyek kode terbuka yang berada di bawah naungan OSS VRP.

• Laporan yang tetap berjalan: Pelaporan terkait integritas rantai pasok perangkat lunak (supply chain security) tetap diterima dan diproses normal.

• Pengajuan terdahulu: Semua laporan yang telah masuk sebelum tanggal 1 Oktober 2026 tetap melalui tahapan evaluasi dan pembayaran hadiah jika terbukti valid.

• Saluran alternatif: Kerentanan pada repositori komputasi awan yang berdampak langsung pada infrastruktur Google Cloud dialihkan ke program Google Cloud VRP.

Restrukturisasi Jalur Evaluasi Menuju 2027

Google memanfaatkan masa penangguhan ini untuk merombak total mekanisme penerimaan dan validasi laporan kerentanan:

• Kewajiban bukti eksploitasi: Sistem baru akan mewajibkan peneliti melampirkan kode pembuktian mandiri yang dapat diverifikasi secara otomatis sebelum berkas masuk ke meja teknisi manusia.

• Penyaringan otomatis: Pengujian awal akan menerapkan filter verifikasi statis untuk menggugurkan laporan halusinasi tanpa menyita waktu pengelola proyek.

• Jadwal pembaruan: Manajemen Google menjadwalkan pengumuman kerangka kerja baru dan pembukaan kembali program pada kuartal pertama 2027.

Pelajaran bagi Ekosistem Keamanan Siber

Keputusan penutupan sementara program OSS VRP menunjukkan sisi lain otomatisasi rekayasa perangkat lunak. Ketika alat kecerdasan buatan mempermudah pembuatan teks laporan teknis, beban verifikasi manusia justru membengkak hingga menciptakan penolakan layanan (denial of service) pada alur kerja peninjauan.

Bagi organisasi yang mengelola program sayembara kode, penerapan gerbang verifikasi teknis yang ketat kini menjadi keharusan agar tenaga ahli dapat berfokus pada ancaman nyata.