LAMPUNG — Google menghentikan sementara penerimaan laporan baru untuk program Open Source Software Vulnerability Rewards Program (OSS VRP) sejak 1 Oktober 2026. Keputusan diambil setelah perusahaan kewalahan memverifikasi lonjakan laporan yang dihasilkan AI generatif, mayoritas berkualitas rendah dan tidak valid. Program ini akan diformat ulang, dengan informasi lanjutan dijanjikan pada kuartal pertama 2027.
Program OSS VRP mendorong peneliti keamanan melaporkan celah pada proyek open source milik Google, mencakup basis kode Go, Angular, Fuchsia, hingga proyek FOSS lainnya. Laporan yang terverifikasi berhak atas imbalan tunai. Namun volume laporan yang masuk kini melampaui kapasitas tim peninjau internal.
Lonjakan Laporan Buatan AI
Google tidak melarang penggunaan AI generatif untuk menyusun laporan. Persoalannya, jumlah laporan meningkat signifikan tanpa diimbangi kualitas. Karyawan Google disebut kewalahan meninjau setiap kiriman yang masuk.
Mayoritas laporan dinilai sebagai slop, istilah untuk konten buatan AI berkualitas rendah. Banyak di antaranya memuat informasi tidak valid dan mengklaim kerentanan yang sebenarnya tidak ada. Google tidak mengungkap berapa total laporan yang diterima sebelum penghentian berlaku.
Laporan Lama Tetap Diproses
Penghentian hanya berlaku untuk kiriman baru. Laporan yang sudah masuk sebelum 1 Oktober 2026 masih akan diproses sesuai prosedur yang berlaku. Google menyatakan program ini akan diformat ulang untuk mengantisipasi banjir laporan otomatis di masa depan.
Informasi lebih lanjut soal masa depan OSS VRP dijadwalkan muncul pada kuartal pertama 2027. Sampai saat itu, status program masih menggantung bagi peneliti yang biasa mengandalkan jalur ini.
Pengecualian untuk Celah Kritis
Google tidak menutup seluruh kanal bug bounty-nya. Beberapa jenis laporan tetap diterima, khususnya celah pada rantai pasok (supply chain) dan kerentanan berkategori sangat berbahaya. Peneliti juga diarahkan ke program VRP lain yang masih beroperasi serta Patch Rewards Program.
Langkah ini menunjukkan Google memilih memisahkan laporan berdampak tinggi dari kiriman massal yang membebani proses triase.
Bukan Masalah Google Sendiri
Microsoft Edge, Linux, dan sejumlah proyek open source lain menghadapi peningkatan kontribusi atau laporan berbasis AI. Beberapa proyek memilih membatasi kiriman buatan AI karena kewalahan melakukan verifikasi.
Pola ini menandakan beban triase kini bergeser dari sekadar menilai validitas teknis menjadi menyaring laporan yang dihasilkan mesin. Bagi pengguna dan pelaku bisnis digital di Indonesia, kelambatan verifikasi celah open source bisa memperpanjang jendela risiko pada layanan yang bergantung pada komponen FOSS.
Apa Dampaknya bagi Peneliti Keamanan
Peneliti yang terbiasa melaporkan celah ke OSS VRP kehilangan salah satu kanal imbalan utama untuk sementara. Alternatif yang tersedia adalah program VRP lain milik Google dan Patch Rewards Program, meski cakupannya lebih terbatas.
Bagi peneliti di Indonesia yang aktif di komunitas keamanan open source, keputusan ini mempertegas bahwa laporan berkualitas dengan bukti reproduksi yang jelas akan semakin menentukan. Kiriman generik hasil AI berisiko tinggi ditolak begitu proses seleksi diperketat.
