Google akan menghentikan sementara penerimaan laporan kerentanan produk melalui Open Source Software Vulnerability Reward Program (OSS VRP) mulai 1 Oktober 2026. Keputusan ini diambil setelah terjadi peningkatan signifikan laporan otomatis, yang menurut Google sebagian besar dinilai tidak valid.
Penangguhan tersebut hanya berlaku untuk laporan product vulnerability. Perubahan ini tidak menghentikan seluruh aktivitas pelaporan keamanan dalam program open source Google. Laporan mengenai kompromi rantai pasok tetap termasuk kategori yang diprioritaskan.
Google juga menegaskan bahwa laporan kerentanan produk yang dikirim sebelum 1 Oktober 2026 tidak terdampak oleh kebijakan sementara ini. Perusahaan berencana memberikan pembaruan mengenai kelanjutan program pada kuartal pertama 2027.
Cakupan penangguhan Google OSS VRP
OSS VRP dibuat untuk menerima laporan keamanan pada proyek-proyek open source Google. Beberapa proyek yang tercakup di dalamnya adalah Go, Angular, dan Protocol Buffers. Melalui program ini, peneliti keamanan dapat melaporkan kerentanan yang ditemukan pada perangkat lunak tersebut untuk ditinjau dan, jika memenuhi syarat, memperoleh imbalan.
Mulai tanggal yang ditetapkan, peneliti tidak lagi dapat mengirim laporan baru untuk kategori kerentanan produk melalui jalur OSS VRP. Namun, kebijakan ini tidak sama dengan penutupan total program atau penghentian seluruh penelitian keamanan terhadap proyek open source Google.
Kategori kompromi rantai pasok tetap diprioritaskan. Jenis masalah ini berkaitan dengan risiko terhadap proses pengembangan, distribusi, atau komponen yang digunakan dalam rantai pasok perangkat lunak. Google memisahkannya dari laporan kerentanan produk biasa sehingga pelapor tetap dapat menyampaikan temuan yang masuk kategori tersebut.
Laporan otomatis menjadi alasan utama
Google menyebut lonjakan laporan otomatis sebagai alasan utama penangguhan. Sebagian besar laporan itu dinilai tidak valid, sehingga tim perlu menghabiskan lebih banyak waktu untuk menyaring temuan yang tidak memenuhi standar sebelum dapat memeriksa masalah yang benar-benar berdampak.
Dalam konteks ini, laporan otomatis tidak dapat langsung disamakan dengan laporan yang seluruhnya dibuat oleh kecerdasan buatan. Peneliti dapat menggunakan AI atau alat otomatis untuk membantu mencari kandidat kerentanan, menyusun analisis awal, atau menguji pola tertentu. Namun, informasi yang tersedia tidak menyatakan bahwa semua laporan tersebut dihasilkan oleh AI maupun memberikan angka pasti mengenai jumlah laporan yang terdampak.
Masalah utama bagi program bug bounty bukan semata-mata cara laporan dibuat, melainkan kualitas hasil akhirnya. Laporan yang tidak dapat direproduksi, tidak menjelaskan langkah pengujian secara memadai, atau tidak menunjukkan dampak keamanan nyata akan sulit ditindaklanjuti oleh pengelola proyek.
AI mempercepat pencarian, tetapi juga menambah beban validasi
Perkembangan alat berbasis AI membuat proses pencarian kandidat kerentanan dapat berlangsung lebih cepat. Sistem otomatis dapat membantu memeriksa kode dalam jumlah besar dan menemukan pola yang mungkin terlewat dalam pemeriksaan manual. Bagi peneliti, kemampuan ini berpotensi memperluas cakupan pengujian.
Di sisi lain, percepatan tersebut juga dapat menghasilkan lebih banyak temuan awal yang belum melalui verifikasi menyeluruh. Kandidat kerentanan belum tentu merupakan celah yang benar-benar dapat dieksploitasi. Kesalahan analisis, asumsi yang tidak tepat mengenai konfigurasi, dan ketiadaan bukti dampak dapat membuat laporan terlihat meyakinkan tetapi tidak valid setelah diperiksa.
Kondisi itu menciptakan tantangan bagi pengelola bug bounty. Setiap laporan harus dipilah, diuji ulang, dan dibandingkan dengan perilaku proyek yang sebenarnya. Jika volume laporan berkualitas rendah meningkat tajam, kapasitas tim keamanan dapat terserap untuk proses triase, sementara laporan penting berisiko membutuhkan waktu lebih lama untuk ditangani.
Google sebelumnya memperketat persyaratan laporan
Penangguhan ini mengikuti langkah Google sebelumnya pada 2026 untuk memperketat aturan OSS VRP. Pada kategori kerentanan tertentu, peneliti diminta menyertakan bukti reproduksi atau patch. Persyaratan tersebut diberlakukan dalam konteks meningkatnya laporan berkualitas rendah dan tidak valid.
Bukti reproduksi membantu tim keamanan memastikan bahwa masalah benar-benar terjadi pada lingkungan atau versi yang relevan. Sementara itu, patch dapat menunjukkan pemahaman pelapor terhadap akar masalah sekaligus membantu pengelola proyek menilai cara perbaikannya. Persyaratan tersebut tidak otomatis membuat setiap laporan valid, tetapi dapat meningkatkan informasi yang tersedia selama proses peninjauan.
Langkah penghentian sementara menunjukkan bahwa pengetatan aturan sebelumnya belum cukup untuk mengendalikan volume laporan pada kategori kerentanan produk. Google memilih menghentikan penerimaan laporan baru untuk sementara, alih-alih terus menambah beban penyaringan dalam kondisi laporan otomatis yang meningkat.
Alternatif bagi peneliti keamanan
Google menyarankan peneliti mempertimbangkan program Vulnerability Reward Program lain yang tersedia. Peneliti juga dapat melihat Patch Rewards Program jika temuan mereka lebih sesuai dengan kontribusi perbaikan atau patch untuk proyek yang relevan.
Sebelum mengirim laporan ke program lain, peneliti perlu memeriksa cakupan proyek, jenis temuan yang memenuhi syarat, serta persyaratan bukti yang diminta. Dokumentasi yang jelas sebaiknya memuat versi perangkat lunak, kondisi pengujian, langkah reproduksi, dampak keamanan, dan—jika tersedia—usulan perbaikan.
Untuk laporan yang sudah dikirim sebelum 1 Oktober 2026, peneliti tidak perlu menganggap perubahan ini membatalkan pengajuan mereka. Google menyatakan bahwa laporan product vulnerability yang masuk sebelum tanggal tersebut tidak terdampak oleh penangguhan.
Menunggu pembaruan pada 2027
Google belum menyatakan kapan penerimaan laporan product vulnerability akan dibuka kembali. Perusahaan berencana menyampaikan pembaruan mengenai OSS VRP pada kuartal pertama 2027. Artinya, status sementara program akan bergantung pada evaluasi terhadap kualitas laporan, kapasitas peninjauan, dan efektivitas aturan yang diterapkan.
Peristiwa ini memperlihatkan perubahan penting dalam ekosistem bug bounty open source. Otomatisasi dan AI dapat membantu peneliti menemukan kandidat masalah dengan lebih cepat, tetapi temuan tetap membutuhkan validasi manusia, bukti yang dapat diuji, dan penjelasan dampak yang konkret.
Bagi pengelola program, tantangannya adalah menjaga agar jalur pelaporan tetap terbuka bagi peneliti yang menghasilkan temuan berkualitas tanpa membiarkan banjir laporan yang tidak valid mengganggu proses penanganan kerentanan yang benar-benar berisiko.
