Sejak 1 Oktober 2026, Google berhenti menerima laporan bug baru untuk Open Source Software Vulnerability Reward Program, program hadiah yang selama ini membayar peneliti keamanan yang nemuin celah di software open source milik Google. Alasannya bukan soal duit. Google bilang mereka kebanjiran laporan otomatis dari AI, dan mayoritas laporan itu nggak valid.
Pengumuman ini muncul lewat akun X resmi Google Bug Hunters pada 1 Oktober, lalu diperjelas lagi di halaman aturan program di bughunters.google.com. Kalimatnya singkat tapi jelas: jeda ini terjadi karena lonjakan signifikan pengiriman otomatis, dan sebagian besar di antaranya nggak valid.
Apa yang Sebenarnya Dihentikan
Penting buat dicatat, ini bukan penutupan total. Yang disetop cuma jalur laporan vulnerability produk, yaitu bug yang berhubungan dengan cacat kode, logika yang keliru, atau kesalahan desain di repository publik Google. Laporan soal supply chain attack, misalnya upaya mengotori proses build atau menukar artefak rilis, masih diterima seperti biasa. Laporan yang udah masuk sebelum 1 Oktober juga tetap diproses, nggak dibuang.
Buat beberapa repository yang terkait langsung sama Google Cloud, laporan bug produk masih bisa disalurkan lewat Google Cloud VRP, program bounty yang terpisah. Jadi peta programnya jadi agak berantakan sekarang, tapi intinya satu: jalur utama buat laporan bug kode baru di OSS VRP, tutup sementara.
Google berjanji ngasih update soal nasib program ini di kuartal pertama 2027. Catat ya, itu bukan tanggal pembukaan kembali, cuma jadwal update status.
Kenapa Sampai Separah Ini
TechCrunch melaporkan, mengutip Tom’s Hardware, bahwa tim engineer dan maintainer open source Google kelelahan memvalidasi laporan yang ujung-ujungnya halusinasi belaka. Dulu, nemuin bug beneran butuh kerja manual yang susah payah, perlu paham arsitektur kode, dan butuh waktu. Sekarang, dengan bantuan model AI dan skrip pemburu bug otomatis, biaya buat bikin laporan yang kelihatan meyakinkan jatuh drastis.
Masalahnya, kelihatan meyakinkan beda jauh dari benar-benar valid. Laporan AI slop ini biasanya ngarang alur eksploitasi yang nggak pernah bisa direproduksi, atau salah baca kode dan nganggepnya sebagai celah serius padahal cuma pola normal. Satu laporan palsu mungkin kelihatan sepele buat ditolak. Tapi kalau yang masuk ribuan per bulan, tim keamanan yang kecil bakal kewalahan, dan waktu buat nanganin bug beneran malah abis buat nyortir sampah.
Pola ini ternyata bukan cuma masalah Google. Linux, menurut laporan yang sama, sempat dibanjiri laporan Common Vulnerabilities and Exposures palsu sampai jumlah kerentanan tercatat per rilis tembus rekor baru, dua ribu laporan. Akibatnya, proyek Linux terpaksa mencabut dukungan buat sejumlah driver jaringan lama, karena nggak sanggup lagi nge-maintain sambil nyaring laporan abal-abal. Intel juga dikabarkan menghentikan program bug bounty mereka, meski perusahaan nggak secara resmi nyebut AI slop sebagai alasannya.
Dampaknya Buat Peneliti dan Developer
Buat peneliti keamanan yang serius, ini kabar yang menjengkelkan. Mereka yang biasa cari nafkah atau nambah portofolio lewat OSS VRP sekarang harus nyari jalur lain, entah lewat Cloud VRP, Patch Rewards Program, atau program bounty vendor lain. Reputasi program bug bounty berbasis kepercayaan, dan kepercayaan itu yang lagi diuji sekarang.
Buat pengelola proyek open source yang lebih kecil, situasi ini jadi sinyal peringatan. Kalau raksasa sekelas Google aja kewalahan nyaring laporan AI, proyek dengan tim maintainer sukarela yang cuma dua tiga orang jelas lebih rentan. Beberapa komunitas open source udah mulai mikirin aturan baru: wajib sertakan proof of concept yang bisa dijalankan, atau bahkan minta deposit kecil yang dikembalikan kalau laporan valid, biar nggak asal kirim.
Ada juga pertanyaan yang lebih besar di sini. Alat AI yang katanya mempercepat riset keamanan, justru sekarang jadi beban operasional buat tim yang nerima laporan itu. Belum ada data pasti soal berapa persen laporan ke OSS VRP yang bikinan AI murni versus dibantu AI sebagian, jadi klaim soal skala persisnya masih perlu verifikasi lebih lanjut.
Apa yang Perlu Dipantau Developer Indonesia
Buat developer dan perusahaan di Indonesia yang ngandelin software open source Google (banyak banget, mulai dari Android sampai berbagai library Go dan TensorFlow), perubahan ini nggak langsung berdampak ke produksi. Tapi kalau tim kamu biasa laporin bug ke OSS VRP buat dapet reward atau sekadar kontribusi komunitas, sekarang jalurnya terbatas sampai ada update di kuartal pertama 2027.
Yang lebih relevan justru pelajarannya. Kalau organisasi kamu mulai pakai AI buat bantu audit keamanan kode sendiri, hasil dari AI itu tetap wajib diverifikasi manusia sebelum ditindaklanjuti. Laporan “ketemu celah serius” dari model AI bisa aja cuma halusinasi, persis kayak yang bikin Google jengkel. Ongkos salah validasi bukan cuma waktu, tapi juga bisa bikin tim nganggep ancaman beneran sebagai noise, gara-gara udah capek nyaring laporan palsu.
Situasi ini kemungkinan bakal jadi pola berulang di industri keamanan siber sepanjang 2027: makin murah bikin laporan yang kelihatan canggih, makin mahal ongkos buat memverifikasinya. Siapa yang nemu cara nyaring laporan AI secara otomatis dan akurat, kemungkinan bakal jadi standar baru buat program bug bounty ke depan.
Artikel Terkait
Baca juga soal kontrol keamanan di sisi perangkat: Apple perketat akses disk penuh macOS gara-gara agen AI. Kalau tertarik sama startup yang justru bangun bisnis dari masalah keamanan agen AI, ada Armadin raih pendanaan besar untuk keamanan agen AI dan Circuit Breaker Labs uji keamanan AI untuk anak. Soal dasar kontrol dan risiko agen AI secara umum, cek panduan keamanan dan kontrol AI agent.
Sumber & Referensi
Berita ini disusun ulang berdasarkan laporan TechCrunch: Google froze its open source bug bounty program due to a ‘significant rise’ in AI submissions dan halaman resmi aturan program di Google OSS VRP Rules, bughunters.google.com.