NARAWARTA.COM — Google menghentikan sementara Open Source Software Vulnerability Rewards Program (OSS VRP) sejak 1 Oktober 2026 setelah kebanjiran laporan otomatis berbasis AI yang mayoritas tidak valid. Program bug bounty khusus kerentanan software open-source ini akan dievaluasi ulang, dengan pembaruan dijadwalkan pada kuartal pertama 2027. Keputusan ini menandai masalah baru di dunia keamanan siber: AI mempercepat pencarian bug, tapi juga memproduksi sampah laporan yang membebani tim keamanan.
"Penghentian sementara ini disebabkan oleh peningkatan signifikan dalam laporan otomatis, yang sebagian besarnya tidak valid," kata Google, seperti dikutip TechCrunch.
Lonjakan Laporan AI Sejak Awal 2026
Persoalan laporan keamanan buatan AI bukan hal baru bagi Google. Pada Maret 2026, raksasa teknologi itu sudah mengubah aturan OSS VRP setelah melihat lonjakan besar laporan yang dihasilkan dengan bantuan kecerdasan buatan.
Google mengungkap dua masalah utama saat itu. Pertama, muncul laporan buatan AI yang berisi informasi keliru atau halusinasi soal cara mengeksploitasi sebuah kerentanan. Kedua, ada laporan yang memang menemukan kesalahan dalam kode, misalnya buffer overflow, tetapi hampir tidak berdampak keamanan karena kode tersebut tidak dapat dijangkau atau tidak relevan dengan model keamanan proyek.
Google menegaskan AI sebenarnya berguna bagi peneliti keamanan untuk menemukan potensi kerentanan. Masalah muncul ketika hasil AI langsung dikirim tanpa divalidasi manusia lebih dulu.
Aturan Sempat Diperketat, Tetap Tidak Cukup
Sebelum menghentikan program, Google sempat memperketat syarat pelaporan. Untuk sejumlah proyek penting, laporan kerusakan memori wajib dilengkapi bukti reproduksi menggunakan OSS-Fuzz atau patch yang sudah digabungkan.
Google juga mengurangi atau menghapus hadiah untuk sejumlah kategori laporan pada proyek dengan prioritas lebih rendah. Langkah itu ternyata belum cukup menahan banjir laporan. TechCrunch melaporkan Google akhirnya memilih menangguhkan OSS VRP sampai tahun depan.
Dampak ke Peneliti Keamanan
Selama OSS VRP dihentikan, Google menyarankan peneliti keamanan mengikuti program bug bounty mereka yang lain. Penangguhan ini tidak berarti Google menutup seluruh program bug bounty. Yang dihentikan sementara hanya OSS VRP untuk pelaporan kerentanan pada software open-source Google.
Fenomena ini memperlihatkan sisi lain penggunaan AI dalam keamanan siber. AI dapat mempercepat pencarian potensi bug, tetapi kemampuan menghasilkan laporan dalam jumlah besar juga menciptakan AI slop yang justru menambah pekerjaan tim keamanan.
Bagi peneliti keamanan di Indonesia yang biasa mengikuti program bug bounty global, penangguhan ini jadi pengingat bahwa validasi manusia tetap jadi pembeda antara temuan berkualitas dan laporan sampah. Google belum memberi tanggal pasti kapan OSS VRP dibuka kembali.
